A operação criminosa utilizava contas do YouTube falsas ou comprometidas para disseminar software malicioso do tipo “infostealer”, como o Rhadamanthys e o Lumma. Os vídeos, disfarçados de tutoriais, prometiam acesso gratuito a software pirateado popular, como Adobe Photoshop e Microsoft Office, ou a batotas para jogos como o Roblox.

Nas descrições dos vídeos, eram incluídos links para descarregar ficheiros protegidos por palavra-passe que continham o malware.

Para aumentar a credibilidade e manipular os algoritmos do YouTube, a rede utilizava canais com um grande número de subscritores, alguns com mais de 100.000, e criava uma falsa sensação de legitimidade através de comentários, “likes” e interações positivas entre os canais comprometidos. Uma vez executado nos computadores das vítimas, o malware roubava credenciais de acesso, carteiras de criptomoedas e outros dados sensíveis. A investigação da Check Point, que durou mais de um ano, conseguiu mapear a complexa rede de contas interligadas, permitindo a sua remoção. Rui Duro, Country Manager da Check Point Research em Portugal, afirmou que “a manipulação da confiança e da credibilidade online está a tornar-se uma das armas mais poderosas do cibercrime moderno”.