Ověřený účet HBO Max na Redditu šířil reklamy s malwarem ClickFix

Ověřený firemní účet dokáže škodlivé reklamě dodat důvěryhodnost, kterou běžný podvod obvykle nemá. V září 2026 útočníci zneužili kompromitovaný účet u/hbomax na Redditu k publikování 108 škodlivých reklam během přibližně 48 hodin. Výzkumníci tuto kampaň označují jako PasteSwitch; cílila na uživatele macOS i Windows metodou ClickFix a doručovala malware pro krádež dat. 35

Podstatné je, že veřejně dostupné informace neuvádějí, jak útočníci získali přístup k reklamní identitě HBO Max na Redditu. Neprokazují ani průnik do streamovací služby HBO Max, systémů Warner Bros. Discovery či dalších firemních účtů. 3

Zneužitá důvěrahodnost, ne potvrzený průnik do platformy

Útočníci využili ověřený status účtu, aby reklamy působily jako legitimní sdělení HBO Max. Výzkumníci popsali pět skupin návnad: 40 reklam vedlo na hbomaxx[.]app, šest na hbomax-macos[.]com, 36 na falešný web s AI a vývojářskými nástroji codex-craft[.]com, 15 na falešný návod k čištění disku v macOS a 11 na code-desktop[.]com. 3

Nešlo tedy jen o podvrženou stránku streamovací služby. Kompromitovaný účet sloužil jako reklamní kanál pro širší, multiplatformní operaci s malwarem. 35

Jak ClickFix přiměl oběti spustit malware vlastní rukou

Kampaně ClickFix nevsázejí na klasické okno pro stažení škodlivého souboru. Stránka místo toho předstírá nutný krok ke stažení, ověření nebo opravě a vyzve návštěvníka, aby zkopíroval a spustil příkaz.

Falešné weby v tomto případě nabízely domnělou aplikaci HBO Max pro macOS, nástroje pro AI či vývojáře, software pro čištění disku a programátorské produkty. Uživatelé macOS byli vedeni k Terminálu, uživatelé Windows například k dialogu Spustit nebo k PowerShellu. 34

Rozhodující byla sociální manipulace: poslední potvrzení provedla sama oběť vložením a spuštěním příkazu. Škodlivý postup tak mohl vypadat jako běžný pokyn při instalaci či řešení technického problému, přestože využíval legitimní nástroje operačního systému. 35

Praktické pravidlo: žádný důvěryhodný web by neměl vyžadovat vložení neznámého příkazu do Terminálu, dialogu Spustit, Příkazového řádku ani PowerShellu kvůli instalaci aplikace, „ověření“ zařízení, opravě chyby nebo vyzvednutí stažení.

Co PasteSwitch doručoval na macOS

Podle výzkumníků řetězce pro macOS používaly příkazy, které stáhly a spustily skripty vedoucí k malwarové rodině MacSync. Její uváděné schopnosti zahrnovaly sběr přihlašovacích údajů z prohlížečů, profilů Firefoxu, dat z Telegramu, Apple Notes a hesel v macOS. 35

Operace používala také komponentu AMOS helper. Podle zveřejněné analýzy vytvářela perzistenci v adresáři pojmenovaném tak, aby připomínal systémovou součást macOS, a mohla napadené zařízení zaregistrovat u infrastruktury ovládané útočníky pro další instrukce. 35

PasteSwitch zahrnoval i návnady spojené s kryptoměnami: padělané aplikace Ledger, Trezor Suite a Exodus měly zachytávat obnovovací fráze kryptoměnových peněženek. Kdo zná obnovovací frázi, může získat přístup k peněžence; software k peněženkám je proto vhodné stahovat výhradně z oficiálního webu výrobce nebo z ověřeného obchodu s aplikacemi. 3

Windows a Amatera Stealer

Na Windows se v popsané aktivitě používaly postupy se spuštěním přes mshta a PowerShell. Jeden pozorovaný řetězec využíval polyglotní soubor, vytvořil naplánovanou úlohu a nakonec načetl Amatera Stealer do paměti prostřednictvím maskovaného PowerShellu a shellcodu. 35

Výzkumníci uvedli, že Amatera dokáže identifikovat parametry napadeného počítače, pořizovat snímky obrazovky, krást přihlašovací údaje z prohlížečů, zjišťovat spuštěné procesy a informace o síti, komunikovat s infrastrukturou útočníků a podporovat doručení dalších škodlivých nákladů. Načtení malwaru do paměti omezuje zjevné stopy na disku, neznamená ale, že by útok byl neškodný nebo pro ochranu koncových zařízení neodhalitelný. 35

Únos schránky ohrožoval kryptoměnové převody

Operace byla spojována také s nástroji AnimateClipper a ZigClipper. Jde o perzistentní únosce schránky, které dokážou nahradit zkopírovanou cílovou kryptoměnovou adresu adresou útočníka. Pokud si oběť vloženou adresu neporovná s adresou zamýšleného příjemce, může odeslat převod do cizí peněženky. 45

Výzkumníci dále uvedli, že tyto clipppery mohly získávat proměnlivé údaje pro komunikaci s řídicí infrastrukturou z chytrých kontraktů ovládaných útočníky v síti Binance Smart Chain. Data v kontraktu tak fungovala jako „mrtvá schránka“ a útočníci nemuseli spoléhat na jedinou pevně danou doménu řídicího serveru. 45

Při kryptoměnovém převodu vždy porovnejte celou adresu příjemce na závěrečné potvrzovací obrazovce; minimálně zkontrolujte několik znaků na začátku i na konci adresy, zvlášť po kopírování a vložení.

Reakce Redditu a nezodpovězené otázky

Po nahlášení reklam je administrátor Redditu údajně pozastavil nebo zablokoval a případ předal týmům Reddit Security a Safety. 34

Nejdůležitější nezodpovězenou otázkou zůstává, jak byl účet u/hbomax kompromitován. První zprávy neuvedly, zda šlo o odcizené přihlašovací údaje, narušený reklamní proces, přístup přes insidery, nebo jinou cestu. 3

Veřejně také není potvrzeno, kolik lidí příkazy skutečně spustilo, jaká data byla odcizena ani zda se ukradené přihlašovací údaje následně zneužily jinde. Dostupné informace rovněž nedokládají přístup útočníků ke streamovací platformě HBO Max ani k širší infrastruktuře Warner Bros. Discovery. 3

Co si z případu odnést

Ověřovací odznak ani známá značka nejsou zárukou bezpečnosti. K nečekaným reklamám na desktopové aplikace — zejména pokud daná aplikace pro danou platformu běžně neexistuje — je namístě přistupovat s podezřením.

Jestliže jste už příkaz z některé z těchto stránek spustili, je vhodné zařízení, pokud je to praktické, odpojit od sítě, kontaktovat IT nebo tým pro řešení incidentů, změnit důležitá hesla z prokazatelně čistého zařízení, odvolat aktivní relace a zkontrolovat aktivitu kryptoměnových účtů a peněženek. Organizace by měly reklamní a sociální účty chránit vícefaktorovým ověřením odolným proti phishingu, přístupem podle principu nejnižších oprávnění a pečlivým dohledem nad nově vytvářenými kampaněmi.