📰 Source : Malwarebytes Threat Intel, publié le 21 octobre 2026, par Stefan Dasic (Sr. Malware Research Engineer, ThreatLabs).

🎯 Contexte : Quelques semaines après l’annonce officielle du partenariat Amazon/YouTube Shopping Affiliate Program (27 août), une vague de sites frauduleux a été détectée, exploitant cet événement réel pour leurrer les créateurs YouTube avec une fausse offre publicitaire « invitation-only » d’Amazon Music.

🕵️ Mécanisme d’attaque :

  • Le site principal amazonyt[.]com se présente comme le « Amazon Artists Music — Creator Portal »
  • Il affiche les vraies statistiques de la chaîne YouTube de la victime en interrogeant l’API publique YouTube (20 clés API Google intégrées avec rotation automatique)
  • Un calculateur de gains fonctionnel est proposé pour renforcer la crédibilité
  • La victime est invitée à « vérifier » sa chaîne via un bouton « Continue with Google » factice
  • Ce bouton charge un iframe transparent depuis un second domaine : youtubechannelverification[.]com
  • L’adresse visible dans la barre du navigateur reste amazonyt[.]com, masquant le domaine de collecte
  • Le formulaire de connexion collecte email, mot de passe et codes MFA, transmis au serveur des attaquants
  • En cas de succès, la victime est redirigée vers une page « offre débloquée » pour retarder toute suspicion

🌍 Ciblage : Le site est disponible en 9 langues (anglais, espagnol, indonésien, portugais, russe, ourdou, arabe, hindi, thaï), indiquant un ciblage international de créateurs de contenu.

🔧 Caractéristiques techniques notables :

  • Séparation du leurre (domaine 1) et de la collecte d’identifiants (domaine 2)
  • Support des défis MFA (TOTP, codes de vérification)
  • Paramètre ref / workerCode suggérant un kit réutilisable ou distribué
  • Messages d’erreur résiduels dans le code (« Please enter the product ID ») indiquant une origine de kit générique
  • Page de succès conçue pour éviter toute suspicion immédiate

📌 Type d’article : Analyse technique de campagne de phishing, visant à documenter le fonctionnement d’une infrastructure frauduleuse ciblant les créateurs de contenu YouTube à l’échelle internationale.

🧠 TTPs et IOCs détectés

TTP

  • T1566.002 — Phishing: Spearphishing Link (Initial Access)
  • T1056.003 — Input Capture: Web Portal Capture (Collection)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1557 — Adversary-in-the-Middle (Credential Access)
  • T1598.003 — Phishing for Information: Spearphishing Link (Reconnaissance)
  • T1036 — Masquerading (Defense Evasion)
  • T1550.004 — Use Alternate Authentication Material: Web Session Cookie (Lateral Movement)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 22 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 74/100 (haute)

  • ✅ malwarebytes.com — source reconnue (liste interne) (20pts)
  • ✅ 14401 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 2 IOC(s) (6pts)
  • ✅ 1/2 IOC(s) confirmé(s) (ThreatFox, URLhaus, VirusTotal) (8pts)
  • ✅ 7 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • youtubechannelverification.com (domain) → VT (4/92 détections)

🔗 Source originale : https://www.malwarebytes.com/blog/threat-intel/2026/10/fake-amazon-music-x-youtube-deal-lures-creators-into-a-google-login-trap