最近，卡巴斯基實驗室的網絡安全分析師發現，黑客一直在頻繁利用 YouTube平臺來傳播復雜的惡意軟件。通過劫持熱門頻道，黑客偽裝成原始創作者發布惡意鏈接、對用戶實施詐騙。

研究發現，攻擊者曾在 2022 年實施了一項復雜的加密貨幣挖掘活動，目標主要針對俄羅斯用戶。攻擊者使用多種攻擊媒介（包括被劫持的 YouTube 賬戶 ）來分發偽裝成如uTorrent、Microsoft Office和Minecraft等流行應用的惡意文件。

感染鏈始于 "受密碼保護的 MSI 文件"，其中包含觸發 多階段攻擊序列的 VBScript，包括利用隱藏在合法數字簽名 DLL 中的 AutoIt 腳本，將權限升級到 SYSTEM 級。 這是一種在隱藏 "惡意代碼 "的同時保持簽名有效性的技術。

該惡意軟件通過 WMI 事件過濾器、注冊表修改（特別針對 圖像文件執行選項、調試器和MonitorProcess 鍵）以及濫用開源Wazuh SIEM 代理進行遠程訪問等多種機制建立了持久性。

此外，攻擊者采用了復雜的防御規避技術（通 explorer.exe進程鏤空、反調試檢查和使用基于特殊 GUID 的目錄名操縱文件系統）來隱藏惡意組件。

卡巴斯基表示，最終有效載荷部署為SilentCryptoMiner，用于挖掘Monero和Zephyr等注重隱私的加密貨幣，同時實施基于進程的隱身機制以逃避檢測。

該惡意軟件還收集系統遙測數據（包括CPU 規格、GPU 詳細信息、操作系統版本和防病毒信息）并通過 Telegram 機器人 API 進行傳輸，其中一些變體包括剪貼板劫持功能，特別針對加密貨幣錢包地址。

除了針對俄羅斯用戶，這一惡意活動還針對來自白俄羅斯、印度、烏茲別克斯坦、哈薩克斯坦、德國、阿爾及利亞、捷克、莫桑比克和土耳其的用戶。由于這些用戶經常自愿禁用 AV 工具的保護和安全措施來安裝非官方軟件，因此特別容易受到攻擊。

這種攻擊的復雜性體現在其模塊化結構上，即可以根攻擊者的目標動態加載不同的有效載荷組件，表明大規模活動可通過先進的混淆方法和反分析功能，在保持隱蔽性的同時融入復雜的企業級攻擊技術。