Een recent onderzoek van Unit 42 toont aan dat cybercriminelen niet altijd geavanceerde technieken nodig hebben om onopgemerkt te blijven. De dreiging schuilt juist in het onopvallende karakter van de aanvalsmethoden. Wat aanvankelijk leek op laagwaardige infecties binnen ondernemingen, bleek onderdeel van een omvangrijke campagne gericht op jonge gamers en zakelijke doelwitten.

De campagne, geregistreerd als CL-CRI-1171 volgens het Unit 42-attributiekader, opereert al minstens twee jaar en verspreidt een onbepaald aantal malwarepayloads via een pay-per-install (PPI) netwerk. Hierbij worden honderden infecties veroorzaakt via een netwerk van YouTube-kanalen en een parallelle SEO-poisoning-funnel, waarbij steeds dezelfde aangepaste loader wordt gebruikt. Minstens elf YouTube-kanalen met elk honderdduizenden volgers werden ingezet om gamingcontent te promoten die links bevatte naar malwaredownloads. De content bestond uit tips voor het verbeteren van framerates, het oplossen van gamecrashes en het aanpassen van instellingen, wat gamers aantrok en tegelijkertijd malware verspreidde.

De SEO-poisoning richtte zich op een professioneler publiek en verspreidde getrojaniseerde software die leidde tot malware-infecties op bedrijfsendpoints, waaronder kritieke infrastructuur en overheidsinstanties. Tussen juli 2025 en april 2026 werden drie onafhankelijke payloads via dezelfde loader verspreid: twee nooit eerder gerapporteerde malwarefamilies, Docro Hijacker en ARKTunnel, en een nieuwe variant van een backdoor die Insomnia remote access Trojan (RAT) werd genoemd. Deze infecties vormen slechts een kleine greep uit een veel grotere campagne, met meer dan 10.000 unieke loader-samples die verschillende combinaties van payloads kunnen afleveren.

De gedeelde infrastructuur tussen de YouTube- en SEO-kanalen, het consistente gebruik van dezelfde loader en een rotatiepatroon van domeinen over een periode van acht maanden wijzen op een langdurige en gecoördineerde operatie. Deze operatie faciliteert andere dreigingsactoren in het verspreiden van malware via het PPI-model. De bevindingen onderstrepen het belang van het herkennen van ogenschijnlijk onschuldige dreigingen die in werkelijkheid deel uitmaken van grootschalige cybercriminaliteit.