Les listes de lecture et les podcasts Spotify sont utilisés de manière abusive pour diffuser des logiciels piratés, des codes de triche de jeux, des liens de spam et des sites « warez ».
En injectant des mots-clés et des liens ciblés dans les noms de listes de lecture et les descriptions de podcasts, les auteurs de menaces peuvent bénéficier d’une optimisation du référencement pour leurs propriétés en ligne douteuses, car les résultats du lecteur Web de Spotify apparaissent dans les moteurs de recherche comme Google.
Listes de lecture Spotify poussant warez
Lorsqu’ils abusent des plateformes, les spammeurs et les escrocs ne négligent aucun effort pour promouvoir leur programme.
Plus récemment, une liste de lecture Spotify intitulée » Sony Vegas Pro 13 Crack… »semblait générer du trafic vers un ou plusieurs sites de logiciels « gratuits » répertoriés dans le titre et la description de la liste de lecture.
Karol Paciorek, passionné de cybersécurité, qui a repéré la liste de lecture, a déclaré: « les cybercriminels exploitent Spotify pour la distribution de logiciels malveillants. Pourquoi? Spotify a une solide réputation et ses pages sont facilement indexées par les moteurs de recherche, ce qui en fait une plate-forme efficace pour promouvoir des liens malveillants. »
Les termes « warez » ou » crack » sont fréquemment utilisés dans la culture informatique pour désigner des logiciels piratés ou piratés circulant sur Internet, souvent sur des sites Web peu fiables.
Il n’y a aucune garantie, jamais, que tenter de télécharger des logiciels contrefaits à partir de tels sites Web, ou des « torrents » sera sans risque, car ceux-ci pourraient être des logiciels malveillants, ou conduire les utilisateurs à de faux sites « d’enquête » qui sont des escroqueries.
Les utilisateurs qui téléchargent de tels « warez » peuvent en effet, à l’occasion, recevoir le logiciel annoncé sur les sites Web suspects sans payer de frais, mais peuvent sans le savoir se retrouver avec des virus, des logiciels publicitaires ou d’autres programmes indésirables cachés dans la version « fissurée » du logiciel.
Avantage supplémentaire: RÉFÉRENCEMENT pour les sites de spam
Nous avons observé qu’un effet secondaire de la pollution de plateformes fiables et très populaires comme Spotify avec du spam, pour les acteurs de la menace, est l’augmentation supplémentaire du classement des moteurs de recherche de leurs sites Web louches.
Ceux qui recherchent des mots clés tels que « téléchargement gratuit » combinés avec « Sony Vegas Pro 13 » ou d’autres produits logiciels peuvent se voir présenter les résultats Google suivants:
Ceci est rendu possible car, en plus des applications mobiles et de bureau, Spotify propose une version de lecteur Web à open.spotify.com Les listes de lecture et podcasts disponibles sur le lecteur Web sont, comme pour tout site Web, explorés par des moteurs de recherche comme Google.
Cela signifie que les sites Web illicites de logiciels « gratuits » ont désormais une plus grande visibilité et une plus grande chance de générer du trafic vers leurs serveurs—qui sont souvent truffés de publicités, de spam, de fausses « enquêtes » et de cadeaux cryptographiques qu’il faudrait parcourir pour, peut-être, pouvoir enfin télécharger un logiciel craqué, ce qui est encore une fois forcément risqué.
Nous avons demandé à Spotify s’il disposait de contrôles ou de technologies automatisées pour détecter et empêcher le spam, et si des applications ou services Spotify tiers étaient utilisés abusivement pour introduire du contenu spam sur la plate-forme.
Spotify a supprimé la liste de lecture et le podcast » Sony Vegas Pro » et leur porte-parole a répondu:
« Le titre de la liste de lecture en question a été supprimé », a informé Spotify à Breachtrace.
« Les Règles de la plate-forme Spotify interdisent de publier, de partager ou de fournir des instructions sur la mise en œuvre de logiciels malveillants ou de pratiques malveillantes connexes qui cherchent à nuire ou à obtenir un accès non autorisé à des ordinateurs, des réseaux, des systèmes ou d’autres technologies. »
Nous n’avons pas obtenu de réponse à nos autres questions.
Les « épisodes » de podcast utilisent la parole synthétisée
Breachtrace a découvert que le problème de spam de Spotify ne se limitait pas aux listes de lecture faisant la promotion de liens vers des logiciels piratés, mais au contenu numérique piraté en général, y compris les livres électroniques.
Par rapport aux listes de lecture, nous avons observé des cas beaucoup plus importants de podcasts parasites, chacun avec plusieurs « épisodes », publiés avec l’intention apparente de promouvoir des liens de spam, des « torrents » et des chaînes Telegram qui semblent être des escroqueries.
Ces » épisodes « durent environ dix à vingt secondes et comprennent un son vocal synthétisé qui invite les utilisateurs à visiter le « lien » dans la description. »Un de ces épisodes est transcrit ci-dessous:
« Bonjour les téléspectateurs, bienvenue sur ma chaîne, il y a de bonnes nouvelles de ma part, si vous souhaitez télécharger ou écouter des livres audio de cette chaîne, veuillez cliquer sur le lien dans la description et vous y inscrire, vous obtiendrez un accès illimité aux livres, veuillez me suivre Je suis à la recherche de plusieurs options de livres électroniques et audio. Merci d’être venu sur ma chaîne, chaleureuses salutations de ma part. »
Ces liens mènent à une page qui comporte des boutons « télécharger » ou « lire en ligne » à côté de l’image de couverture numérique du livre annoncé. Cliquer sur l’un ou l’autre bouton, cependant, tente de lancer une enquête ou pire, dirige les utilisateurs vers des extensions Chrome fragiles « adblock » qui peuvent plutôt collecter vos données:
Prochaine étape: Astuces de jeu et mods « GTA V »
De même, certains podcasts que nous avons découverts prétendaient offrir des codes de triche de jeu pour des titres à succès comme ApexLegends, des hacks Fortnite, des scripts Roblox, des « mods GTA V » et des entraîneurs.
Le texte « Codes de triche gratuits » dans la description de cet exemple d’épisode était cliquable et a conduit à un tricheur.site web ninja:
En août, le compte X (Twitter) g0njxa avait également partagé des exemples de spammeurs « Fortnite » abusant de la plate-forme:
Publié via des services de distribution de podcasts tiers
Fait intéressant, alors que des plateformes comme Spotify pourraient voir leurs technologies automatisées et leurs barrières restreindre les noms ou descriptions de listes de lecture invalides, les applications et services tiers sont un autre vecteur de menace que les acteurs exploitent pour prendre pied.
Un dénominateur commun parmi de nombreux « podcasts », mais pas tous, était l’utilisation de ces services tiers qui fournissent des services d’hébergement, de publication et de distribution aux producteurs de podcasts sur des plateformes de streaming, y compris Spotify.
Nous avons remarqué une bannière « Powered by Firstory Hosting » ajoutée à la zone de description de ces podcasts.
Lancé en 2019, Firstory est un service en ligne conçu pour » permettre aux podcasteurs du monde entier de distribuer partout et de commencer à se connecter avec le public! »
On peut utiliser Firstory pour publier des podcasts sur Spotify, mais la plate-forme reconnaît que le spam est un problème permanent qu’elle se concentre sur la réduction.
« Les comptes de spam et le contenu sont des défis permanents, et c’est quelque chose que nous continuons de nous concentrer sur l’amélioration », a écrit Stanley Yu, cofondateur de Firstory, à Breachtrace en réponse à nos questions.
« Tout le monde peut utiliser notre plateforme pour publier des podcasts sur Spotify. Cependant, nous avons mis en place certains filtres pour empêcher les comptes d’utiliser des domaines frauduleux spécifiques ou des adresses e-mail contenant des variantes telles que account+[numbers]@gmail.com ou ‘. dans les courriels. »
« Non seulement ces comptes de spam violent les droits des créateurs que nous apprécions le plus, mais ils augmentent également nos coûts opérationnels. »
« Nous avons consacré des ressources considérables à la résolution de ce problème. »
Yu a partagé que les mesures de sécurité en place incluent la vérification et le blocage des e-mails; c’est-à-dire effectuer « une série de vérifications pour bloquer les adresses e-mail suspectes ou frauduleuses pendant le processus d’enregistrement du compte. »
De plus, la plate-forme travaille en étroite collaboration avec Spotify et, selon Yu, examine et signale rapidement tout contenu contrefait détecté.
« Nous avons également une intégration d’API avec Spotify pour supprimer tout contenu signalé. »
« Nous numérisons les titres des podcasts et affichons des notes pour des mots clés spécifiques tels que EPUB, PDF,etc., pour empêcher l’hébergement de contenu spam. Un défi ici est que certains épisodes utilisent des variantes telles que « EPUB » ou contiennent des termes comme « epub » dans des contextes sans rapport (par exemple, « république »). Ces cas nécessitent une attention particulière au cours de notre processus d’examen », a conclu Yu.
Qu’il s’agisse de se faufiler dans des liens « manuscrits » dans des profils de rencontres ou de détourner des sites Web gouvernementaux et universitaires, des acteurs sans scrupules ont utilisé à plusieurs reprises de nouvelles tactiques pour diffuser du contenu indésirable aux masses. Et, maintenant, ils ne vous laisseront pas non plus en paix avec votre musique préférée.