Verifiziertes HBO-Max-Konto auf Reddit für ClickFix-Malware missbraucht

Ein verifiziertes Markenkonto kann einer betrügerischen Anzeige einen Anschein von Glaubwürdigkeit geben. Im September 2026 nutzten Angreifer das kompromittierte Reddit-Konto u/hbomax, um innerhalb von etwa 48 Stunden 108 schädliche Anzeigen zu veröffentlichen. Die Kampagne, die Forscher PasteSwitch nennen, zielte mit ClickFix-Methoden und Infostealer-Schadsoftware auf macOS- und Windows-Nutzer. 35

Entscheidend ist: Öffentlich ist bislang nicht geklärt, wie die Täter Zugriff auf die Reddit-Werbeidentität von HBO Max erhielten. Es gibt ebenso keinen öffentlichen Nachweis, dass der Streamingdienst HBO Max, Systeme von Warner Bros. Discovery oder weitere Unternehmensaccounts kompromittiert wurden. 3

Missbrauch einer vertrauenswürdigen Werbeidentität

Die verifizierte Kennzeichnung des Kontos ließ die Anzeigen aussehen, als stammten sie direkt von HBO Max. Die Forscher fanden fünf Ködergruppen: 40 Anzeigen führten zu hbomaxx[.]app, sechs zu hbomax-macos[.]com, 36 zu der gefälschten KI- und Entwicklerseite codex-craft[.]com, 15 zu einem angeblichen macOS-Leitfaden zur Datenträgerbereinigung und 11 zu code-desktop[.]com. 3

Damit ging es nicht nur um die Nachahmung eines Streamingdienstes. Das Konto diente als Werbekanal für eine umfassendere, plattformübergreifende Malware-Auslieferung. 35

So funktionierte der ClickFix-Trick

Bei ClickFix erscheint meist kein klassischer Malware-Download. Stattdessen zeigt die betrügerische Seite einen vermeintlichen Download-, Verifizierungs- oder Reparaturschritt an. Besucher sollen einen vorgegebenen Befehl kopieren und selbst ausführen.

Die Seiten gaben sich hier als HBO-Max-App für macOS, KI- oder Entwicklerwerkzeuge, Bereinigungssoftware und Coding-Produkte aus. Unter macOS sollten Nutzer Terminal öffnen; unter Windows wurden sie etwa zur Funktion „Ausführen“ oder zu PowerShell geleitet. 34

Der Kern des Angriffs ist soziale Manipulation: Die betroffene Person erteilt die letzte Freigabe selbst, indem sie den Befehl einfügt und startet. Dadurch kann ein schädlicher Vorgang wie eine gewöhnliche Installations- oder Problemlösungsanleitung wirken, obwohl legitime Systemwerkzeuge missbraucht werden. 35

Eine einfache Schutzregel: Keine seriöse Website sollte verlangen, einen unbekannten Befehl in Terminal, „Ausführen“, die Eingabeaufforderung oder PowerShell einzufügen – weder zur App-Installation noch zur angeblichen Geräteprüfung, Fehlerbehebung oder Freischaltung eines Downloads.

macOS: MacSync, AMOS und gefälschte Wallet-Apps

Bei den macOS-Angriffsketten luden und starteten die Befehle Skripte, die zur Malware-Familie MacSync führten. Ihr wurden unter anderem der Diebstahl von Browser-Zugangsdaten, Firefox-Profilen, Telegram-Daten, Apple-Notizen und macOS-Passwörtern zugeschrieben. 35

Zusätzlich kam eine AMOS-Helper-Komponente zum Einsatz. Laut der Analyse richtete sie Persistenz in einem Verzeichnis ein, dessen Name einem macOS-Systembestandteil ähnelte. Sie konnte ein infiziertes Gerät außerdem bei von Angreifern kontrollierter Infrastruktur registrieren, um später weitere Anweisungen zu erhalten. 35

PasteSwitch nutzte auch Krypto-Köder: gefälschte Apps für Ledger, Trezor Suite und Exodus sollten Wiederherstellungsphrasen von Wallets abgreifen. Wer eine solche Seed-Phrase besitzt, kann in der Regel auf die zugehörige Kryptowallet zugreifen. Wallet-Software sollte daher ausschließlich über die offizielle Website des Anbieters oder einen verifizierten App-Store-Eintrag bezogen werden. 3

Windows: Amatera Stealer und Ausführung im Arbeitsspeicher

Unter Windows beobachteten Forscher Ausführungsketten über mshta und PowerShell. In einem Fall kam eine Polyglot-Datei zum Einsatz, es wurde eine geplante Aufgabe angelegt, und schließlich wurde Amatera Stealer über verschleierte PowerShell und Shellcode in den Arbeitsspeicher geladen. 35

Amatera konnte den Rechner laut Bericht profilieren, Screenshots erstellen, Browser-Zugangsdaten stehlen, Prozesse sowie Netzwerkinformationen erfassen, mit Angreifer-Infrastruktur kommunizieren und weitere Schadsoftware nachladen. Das Laden im Arbeitsspeicher hinterlässt möglicherweise weniger auffällige Dateien auf der Festplatte, macht einen Befall aber weder harmlos noch für Endpoint-Schutzlösungen grundsätzlich unsichtbar. 35

Kryptotransfers im Visier: Clipboard-Hijacker

Die Operation wurde außerdem mit AnimateClipper und ZigClipper in Verbindung gebracht. Diese persistenten Clipboard-Hijacker ersetzen eine kopierte Kryptowährungs-Empfängeradresse durch eine Adresse der Angreifer. Prüft ein Opfer die eingefügte Adresse nicht, kann eine Überweisung an die falsche Wallet gehen. 45

Die Clipper konnten Berichten zufolge wechselnde Command-and-Control-Informationen aus von Angreifern kontrollierten Smart Contracts auf der Binance Smart Chain abrufen. Solche Contract-Daten können als eine Art „toter Briefkasten“ dienen und vermeiden die Abhängigkeit von einem einzigen festen C2-Hostnamen. 45

Bei Kryptoüberweisungen sollte die Empfängeradresse im finalen Bestätigungsfenster vollständig kontrolliert werden – mindestens aber mehrere Zeichen am Anfang und Ende, insbesondere nach Kopieren und Einfügen.

Reaktion von Reddit – und die offenen Fragen

Nachdem die Anzeigen gemeldet worden waren, soll ein Reddit-Administrator sie pausiert oder gesperrt und den Vorgang an die Sicherheits- und Trust-&-Safety-Teams des Unternehmens eskaliert haben. 34

Die wichtigste offene Frage bleibt der Zugang zu u/hbomax: Die ersten Berichte nennen weder gestohlene Zugangsdaten noch einen kompromittierten Werbeprozess, einen Insider-Zugang oder eine andere Methode als gesicherte Ursache. 3

Auch ist nicht öffentlich bestätigt, wie viele Menschen die Befehle ausführten, welche Daten tatsächlich entwendet wurden oder ob gestohlene Zugangsdaten später anderweitig missbraucht wurden. Die vorliegenden Informationen belegen ebenfalls keinen Zugriff auf die HBO-Max-Plattform oder die breitere Infrastruktur von Warner Bros. Discovery. 3

Was Nutzer und Unternehmen daraus lernen sollten

Verifizierungszeichen und bekannte Marken ersetzen keine Prüfung der Quelle. Besonders verdächtig sind Anzeigen für Desktop-Apps, die für das jeweilige Betriebssystem normalerweise gar nicht angeboten werden.

Wer bereits einen Befehl von einer solchen Seite ausgeführt hat, sollte das Gerät nach Möglichkeit vom Netzwerk trennen, IT- oder Incident-Response-Verantwortliche einschalten, wichtige Passwörter von einem nachweislich sauberen Gerät ändern, aktive Sitzungen widerrufen sowie Krypto-Konten und Wallet-Aktivitäten überprüfen. Unternehmen sollten Werbe- und Social-Media-Konten mit phishing-resistenter Mehrfaktor-Authentifizierung, minimalen Berechtigungen und einer engen Überwachung neuer Werbekampagnen absichern.