- Más de 3.000 vídeos retirados por distribuir malware camuflado como cracks y trucos.
- Campaña activa desde 2021, con un pico en 2025 cuando se triplicó la actividad.
- Cuentas comprometidas, comentarios falsos y enlaces a Drive/Dropbox/MediaFire para engañar.
- Infostealers como Rhadamanthys, Lumma y RedLine robaban contraseñas y criptomonedas.
Google ha retirado más de 3.000 vídeos de YouTube que difundían malware disfrazado de tutoriales de software crackeado y trucos para videojuegos. Detrás de estos contenidos se ocultaban archivos maliciosos diseñados para robar contraseñas, criptomonedas y datos del sistema a quienes siguieran las instrucciones de descarga.
La investigación, atribuida a Check Point y difundida por medios especializados como The Register, apunta a una operación bautizada como “YouTube Ghost Network”. Según los analistas, la campaña comenzó en 2021 y se aceleró en 2025, cuando el volumen de vídeos maliciosos se triplicó; Google colaboró con los investigadores para desmantelar la red y retirar los contenidos.
Cómo funcionaba la red
La Ghost Network operaba con miles de cuentas coordinadas que reproducían el comportamiento de un canal legítimo: unas subían los vídeos, otras inundaban los comentarios con elogios y emojis, y un tercer grupo publicaba enlaces y contraseñas en la pestaña de comunidad. El objetivo era que todo pareciese orgánico, con visitas, likes y mensajes positivos que generasen confianza.
La campaña aprovechaba canales comprometidos de creadores reales para ganar credibilidad. Un canal secuestrado con 129.000 suscriptores subió una falsa versión de Photoshop que acumuló casi 300.000 visualizaciones; otro vídeo sobre FL Studio alcanzó alrededor de 147.000 vistas antes de ser eliminado.
Tácticas de infección y códigos maliciosos
Los vídeos indicaban a los usuarios que desactivasen el antivirus y descargasen un archivo alojado en Dropbox, Google Drive o MediaFire. Al ejecutarlo, en lugar del programa prometido, se instalaban infostealers como Rhadamanthys, Lumma o RedLine, capaces de exfiltrar credenciales, carteras de cripto e información del sistema a servidores controlados por los atacantes.
Para resistir los bloqueos, los operadores cambiaban de forma periódica los enlaces y las variantes del malware, regenerando la infraestructura incluso tras prohibiciones masivas. Los investigadores ven paralelismos con otras operaciones de código abierto, como la denominada “Stargazers Ghost Network” observada en GitHub por su carácter distribuido.
Cebos más efectivos: cracks y trucos para juegos
El anzuelo principal eran los tutoriales de software pirata y los trucos para videojuegos. El contenido dirigido a Roblox fue especialmente lucrativo para los atacantes, dado su enorme volumen de jugadores activos al mes, junto a imitaciones de Microsoft Office, Adobe Lightroom, Photoshop o herramientas de audio como FL Studio. Este fenómeno concuerda con una alerta creciente sobre malware en juegos.
La apariencia de normalidad se completaba con comentarios positivos automatizados y señales sociales falsas. En un ecosistema donde la popularidad suele asociarse a fiabilidad, estas tácticas convirtieron el engagement en un arma para llevar a las víctimas hasta los enlaces maliciosos.
La respuesta de Google y el seguimiento del caso
Tras la colaboración con Check Point, Google retiró los vídeos y suspendió cuentas implicadas en la Ghost Network. No obstante, los especialistas advierten de que la mecánica que explota la confianza en contenidos aparentemente populares sigue vigente y puede reactivarse con nuevas cuentas.
Como apuntó Eli Smadja, responsable de investigación en Check Point, un vídeo con buena pinta puede ser tan peligroso como un correo de phishing. La firma mantiene la monitorización para detectar nuevas iteraciones de la operación y cortar su difusión lo antes posible.
Impacto para usuarios en España y Europa: buenas prácticas
Al tratarse de una plataforma global, los usuarios en España y la Unión Europea están expuestos al mismo riesgo cuando buscan software gratis o trucos de juegos en YouTube. Conviene reforzar hábitos de seguridad y, si sospechas de una infección, consultar cómo eliminar un malware en Android; mantener una actitud prudente ante promesas de descargas fáciles o “licencias gratuitas”.
- No desactives tu antivirus ni el control del navegador para descargar archivos de origen dudoso.
- Evita cracks y generadores de claves; descarga software solo desde sitios oficiales.
- Comprueba el historial y autenticidad del canal antes de seguir enlaces externos.
- Activa doble factor de autenticación y cambia contraseñas si sospechas de una descarga.
La actuación de Google contra la Ghost Network frena una ofensiva que abusaba de nombres conocidos y del efecto confianza para propagar infostealers, pero el riesgo no desaparece: los grupos cambian rápido de tácticas y de enlaces. Mantener la cautela, comprobar el origen de los archivos y priorizar descargas oficiales seguirá siendo clave para esquivar este tipo de trampas.