حساب HBO Max على ريديت استُخدم لنشر إعلانات ClickFix خبيثة

لم تكن الشارة الموثّقة كافية لحماية المستخدمين من الخداع. ففي سبتمبر 2026، استغل مهاجمون حساب u/hbomax الموثّق على ريديت لنشر 108 إعلانات خبيثة خلال نحو 48 ساعة، ضمن عملية أطلق عليها الباحثون اسم PasteSwitch. واستهدفت الحملة مستخدمي macOS وويندوز بأسلوب هندسة اجتماعية يُعرف باسم ClickFix وببرمجيات لسرقة المعلومات. 35

لكن نقطة جوهرية ما زالت غير محسومة: لا تكشف التقارير المنشورة كيف وصل المهاجمون إلى هوية HBO Max الإعلانية على ريديت. كما لا يوجد ما يثبت اختراق خدمة البث نفسها، أو أنظمة Warner Bros. Discovery، أو حسابات مؤسسية أخرى. 3

حساب موثّق تحوّل إلى قناة إعلانات خبيثة

استفاد المهاجمون من موثوقية الحساب في تشغيل إعلانات تبدو صادرة عن HBO Max. ووثّق الباحثون خمس مجموعات من الطعوم: 40 إعلاناً تقود إلى hbomaxx[.]app، و6 إلى hbomax-macos[.]com، و36 إلى موقع مزيف لأدوات الذكاء الاصطناعي أو التطوير باسم codex-craft[.]com، و15 إلى دليل مزيف لتنظيف أقراص macOS، و11 إلى code-desktop[.]com. 3

ولا تعني الحملة مجرد انتحال لخدمة بث؛ إذ استُخدم الحساب كوسيلة توزيع لإيصال برمجيات خبيثة عبر منصات متعددة، مستفيداً من ثقة الجمهور في علامة معروفة وحساب موثّق. 35

كيف خدع ClickFix الضحايا لتنفيذ الأوامر بأنفسهم؟

بدلاً من عرض ملف خبيث للتنزيل مباشرة، تعرض صفحات ClickFix خطوة تبدو كأنها تنزيل أو تحقق أو إصلاح لمشكلة، ثم تطلب من الزائر نسخ أمر وتشغيله.

في هذه الحملة، انتحلت المواقع المزيفة تطبيق HBO Max لنظام macOS وأدوات ذكاء اصطناعي وتطوير وبرامج تنظيف أقراص ومنتجات برمجية. وطُلب من مستخدمي macOS استخدام تطبيق Terminal، بينما وُجّه مستخدمو ويندوز إلى مربع التشغيل أو PowerShell. 34

جوهر الخداع هنا اجتماعي: الضحية نفسها تمنح التنفيذ النهائي للأمر الضار عند لصقه وتشغيله. لذلك قد يبدو الأمر كأنه تعليمات تثبيت أو استكشاف أخطاء عادية، رغم أنه يستخدم أدوات مشروعة في نظام التشغيل لتنفيذ نشاط خبيث. 35

القاعدة العملية البسيطة: لا ينبغي لأي موقع موثوق أن يطلب منك لصق أمر لا تفهمه في Terminal أو Run أو موجه الأوامر أو PowerShell لتثبيت تطبيق، أو التحقق من جهازك، أو إصلاح خطأ، أو الحصول على تنزيل.

ما الذي استهدف مستخدمي macOS؟

أفاد الباحثون بأن سلاسل الهجوم على macOS استخدمت أوامر تجلب نصوصاً برمجية وتشغّلها، ما أدى إلى تنزيل عائلة البرمجيات الخبيثة MacSync. وشملت قدرات MacSync المبلغ عنها سرقة بيانات اعتماد المتصفحات وملفات Firefox وبيانات Telegram وملاحظات Apple وكلمات مرور macOS. 35

واستخدمت العملية أيضاً مكوّناً مساعداً باسم AMOS helper. ووفق التحليل المنشور، أنشأ هذا المكوّن آلية استمرارية في دليل يحمل اسماً يشبه مكوّناً من مكوّنات macOS، وكان قادراً على تسجيل الجهاز المصاب لدى بنية تحتية يسيطر عليها المهاجمون لتلقي مهام لاحقة. 35

كما تضمّنت PasteSwitch طعوم عملات مشفّرة، بينها تطبيقات مزيفة لـ Ledger وTrezor Suite وExodus، هدفها جمع عبارات استرداد المحافظ. وبما أن عبارة الاسترداد قد تمنح الوصول إلى المحفظة، ينبغي تنزيل برامج المحافظ من الموقع الرسمي للمورّد أو من متجر تطبيقات موثّق فقط. 3

سلسلة ويندوز وAmatera Stealer

على ويندوز، استخدمت الأنشطة المبلّغ عنها مسارات تنفيذ عبر mshta وPowerShell. وفي إحدى السلاسل المرصودة، استُخدم ملف متعدد الصيغ، وأُنشئت مهمة مجدولة، ثم حُمّلت برمجية Amatera Stealer في الذاكرة عبر PowerShell مموّه وشفرة shellcode. 35

وأفاد الباحثون بأن Amatera قادرة على جمع بصمة الجهاز والتقاط لقطات شاشة وسرقة بيانات اعتماد المتصفح وحصر العمليات ومعلومات الشبكة والاتصال بالبنية التحتية للمهاجمين، فضلاً عن دعم تنزيل حمولات إضافية. وتقليل الآثار الظاهرة على القرص عبر التحميل في الذاكرة لا يجعل الاختراق غير مؤذٍ أو غير قابل للرصد من أدوات حماية الأجهزة الطرفية. 35

اختطاف الحافظة يهدد تحويلات العملات المشفّرة

ارتبطت العملية أيضاً بـ AnimateClipper وZigClipper، وهما برمجيتان خبيثتان مستمرتان لاختطاف الحافظة تستبدلان عنوان محفظة العملات المشفرة المنسوخ بعنوان يسيطر عليه المهاجم. وإذا لم يقارن المستخدم العنوان الملصق بعنوان المستلم المقصود، فقد يرسل التحويل إلى محفظة خاطئة. 45

وذكر الباحثون كذلك أن هذه البرمجيات كانت تسترجع معلومات قيادة وتحكم متغيرة من عقود ذكية يسيطر عليها المهاجمون على Binance Smart Chain. ويتيح استخدام بيانات العقد كـ«صندوق إيداع» تجنب الاعتماد على اسم نطاق ثابت واحد لخادم القيادة والتحكم. 45

عند تحويل عملات مشفّرة، قارن عنوان الاستلام كاملاً في شاشة التأكيد النهائي، أو تحقق على الأقل من عدة رموز في بدايته ونهايته، خصوصاً بعد النسخ واللصق.

استجابة ريديت وما لا نعرفه بعد

بعد الإبلاغ عن الإعلانات، أوقف أحد مسؤولي ريديت الإعلانات أو علّقها، وصعّد المسألة إلى فريقي الأمن والسلامة في المنصة، وفقاً للتقارير. 34

ويبقى السؤال الأهم: كيف تم الاستيلاء على u/hbomax؟ لا تحدد التقارير الأولية ما إذا كان ذلك نتيجة سرقة بيانات اعتماد، أو اختراق لسير عمل إعلاني، أو وصول من داخل المؤسسة، أو طريقة أخرى. 3

ولا يوجد تأكيد علني لعدد الأشخاص الذين نفذوا الأوامر، أو البيانات التي سُرقت، أو ما إذا كانت بيانات الاعتماد المسروقة استُخدمت لاحقاً في هجمات أخرى. وبالمثل، لا تثبت المعلومات المتاحة وصول المهاجمين إلى منصة بث HBO Max أو إلى بنية Warner Bros. Discovery الأوسع. 3

ما الذي ينبغي فعله؟

تؤكد الحادثة أن الشارة الموثّقة واسم العلامة التجارية لا يلغيَان خطر التصيد والبرمجيات الخبيثة. تعامل بحذر مع الإعلانات غير المتوقعة لتطبيقات سطح المكتب، ولا سيما التطبيقات التي لا تتوفر عادةً لنظام التشغيل الذي تستخدمه.

إذا كنت قد شغّلت أمراً من إحدى هذه الصفحات، افصل الجهاز عن الشبكة متى كان ذلك عملياً، وتواصل مع فريق تقنية المعلومات أو الاستجابة للحوادث، ثم غيّر كلمات المرور المهمة من جهاز موثوق ونظيف، وألغِ الجلسات النشطة، وراجع نشاط حسابات ومحافظ العملات المشفرة. وعلى المؤسسات حماية حسابات الإعلانات ووسائل التواصل بالمصادقة متعددة العوامل المقاومة للتصيد، والصلاحيات الدنيا، والمراقبة الدقيقة للحملات التي تُنشأ حديثاً.