Gehackter HBO-Max-Reddit-Account verbreitete ClickFix-Malware

Ein vertrauenswürdig wirkender Account kann selbst eine bösartige Anzeige wie normale Werbung aussehen lassen. Genau das geschah laut Sicherheitsforschern mit dem verifizierten Reddit-Konto u/hbomax: Angreifer übernahmen den Account und nutzten ihn, um ClickFix-Anzeigen auszuspielen. Diese sollten Besucher unter Windows und macOS zur Ausführung von Infostealer-Malware verleiten. Der Vorfall belegt nach bisherigem Stand einen Missbrauch des Reddit-Accounts und des Anzeigenzugangs – keinen bestätigten Einbruch in die Infrastruktur von HBO Max oder Warner Bros. Discovery. 1921

Was passiert ist

Innerhalb von rund 48 Stunden liefen über den kompromittierten Account 108 bösartige Anzeigen, wie die zitierten Forscher berichten. Die Anzeigen gaben sich unter anderem als HBO Max, KI- und Entwicklerwerkzeuge sowie macOS-Programme aus. Die Aktivität wurde einer umfassenderen Operation zugeordnet, die die Forscher PasteSwitch nennen. 1921

Nutzer auf Reddit machten die Kampagne zunächst öffentlich; Hudson Rock und ADAMnetworks analysierten sie anschließend, weitere Forscher steuerten Erkenntnisse bei. Reddit erklärte, die betroffenen Anzeigen vorübergehend gestoppt zu haben, und untersuche den Vorgang mit seinen Security- und Safety-Teams. 2129

So funktioniert die ClickFix-Falle

ClickFix benötigt keine Sicherheitslücke im Browser. Stattdessen werden Betroffene dazu gebracht, einen schädlichen Befehl selbst auszuführen:

1. Ein Klick auf die Anzeige führt zu einer gefälschten Streaming-, Software- oder Hilfeseite.
2. Dort erscheint ein glaubwürdig wirkender Fehlerhinweis, eine angebliche Verifikation, ein Fake-CAPTCHA oder eine Aufforderung, ein Problem zu beheben.
3. Die Seite verlangt, einen Befehl zu kopieren und in Terminal unter macOS oder unter Windows in „Ausführen“, PowerShell oder eine andere Kommandooberfläche einzufügen.
4. Mit dem Ausführen startet die Malware-Kette der Angreifer. 21419

Die Methode ist so wirksam, weil sie bekannte Marken, vermeintlich verifizierte Werbung und eine alltägliche Support-Situation kombiniert. Der entscheidende Schritt wird vom Nutzer autorisiert; deshalb muss weder eine auffällige EXE-Datei heruntergeladen noch eine Software-Schwachstelle ausgenutzt werden. 114

Welche Schadsoftware PasteSwitch auslieferte

PasteSwitch war nach Einschätzung der Forscher keine starre Einzelkampagne, sondern eine flexibel steuerbare, plattformübergreifende Auslieferungsoperation. Landingpages und Befehle konnten das Betriebssystem erkennen und Inhalte, Ziele oder Schadprogramme im Zeitverlauf austauschen. 182127

macOS: MacSync, AMOS-Komponenten und Krypto-Köder

Für macOS wurde die Auslieferung von Komponenten der Infostealer MacSync und AMOS Helper berichtet. Microsoft hat zudem ClickFix-Kampagnen dokumentiert, die gefälschte macOS-Dienstprogramme und Terminal-Anweisungen einsetzen: Ein eingefügter Befehl kann dabei einen verschleierten Loader auf dem Mac starten. 1811

Im Umfeld des HBO-Max-Vorfalls beobachteten die Forscher außerdem Wallet-Köder, die Ledger, Trezor und Exodus imitierten. Teil der Operation war offenbar das Manipulieren der Zwischenablage bei Kryptowährungen: Malware kann eine kopierte Wallet-Adresse überwachen und vor einer Überweisung durch eine Adresse der Angreifer ersetzen. 2127

Windows: MP3-Tarnung, HTA-Loader und Amatera Stealer

Unter Windows nutzte die Auslieferungskette Berichten zufolge eine Polyglot-Datei: Sie sah wie eine MP3-Datei aus, konnte aber zugleich als HTA-Loader fungieren. Am Ende der Kette stand der Amatera Stealer. Amatera, auch ACR oder AcridRain Stealer genannt, ist ein Windows-Infostealer für Zugangsdaten und weitere Informationen und wurde bereits in ClickFix-, Fake-Verifikations-, Malvertising- und mehrstufigen Loader-Kampagnen eingesetzt. 1824

Auf beiden Betriebssystemen kann der Schaden weit über ein einzelnes Passwort hinausgehen. Infostealer zielen unter anderem auf Browser-Zugangsdaten, aktive Sitzungen, gespeicherte Daten und Informationen zu Krypto-Wallets. 418

Warum die Blockchain-Infrastruktur relevant ist

Forscher brachten PasteSwitch mit Infrastruktur in Verbindung, die Smart Contracts der BNB Smart Chain als eine Art „Dead Drop“ für die Weiterleitung nutzte. Zwischen März und Juli 2026 soll die Operation 36 Domains gewechselt haben. 21

Das passt zu einem breiteren ClickFix-Muster: Kompromittierte Webseiten beziehen Anweisungen oder Informationen zum Weiterleiten von Payloads aus Smart Contracts der BNB Smart Chain. Betreiber können solche On-Chain-Anweisungen ändern, ohne jede kompromittierte Website anfassen zu müssen. Für die Abwehr reicht es damit nicht aus, nur eine einzelne URL oder einen Dateihash zu blockieren. 33639

Was weiterhin unbekannt ist

Entscheidend ungeklärt ist, wie die Angreifer Kontrolle über den HBO-Max-Reddit-Account oder dessen Anzeigenzugang erlangten. Öffentliche Berichte belegen bislang weder gestohlene Zugangsdaten noch einen gestohlenen Sitzungstoken, eine umgangene Mehrfaktor-Authentifizierung, missbrauchten Drittanbieterzugang oder einen anderen konkreten Zugriffsweg. 1921

Ebenso gibt es keine belastbare öffentliche Bilanz zu Reichweite, Klicks, ausgeführten Befehlen, Infektionen, finanziellen Schäden oder betroffenen Nutzern. Wer die Anzeige nur gesehen hat, war nicht automatisch infiziert: Dafür musste die betreffende Person den Anweisungen folgen und den Befehl tatsächlich ausführen. Auch für eine Ausweitung auf Unternehmens-, Kunden-, Produktions- oder Streaming-Systeme von Warner Bros. Discovery gibt es bisher keine öffentlichen Belege. 1921

Die wichtigste Lehre für Nutzer

ClickFix ist inzwischen eine weit verbreitete Social-Engineering-Methode für Windows und macOS. Microsoft warnt, dass die Kampagnen den Reflex ausnutzen, scheinbar kleine Technikprobleme sofort lösen zu wollen – etwa bei gefälschten CAPTCHAs oder Verifikationsaufforderungen. In separaten Untersuchungen wurden mehr als 5.400 kompromittierte Websites identifiziert, die ClickFix-Köder mit blockchain-basierter Payload-Infrastruktur ausspielten. 143

Die praktische Regel ist eindeutig: Halt an, wenn eine Webseite verlangt, Text in Terminal, „Ausführen“, PowerShell oder Windows Terminal einzufügen. Eine seriöse CAPTCHA-, Streaming-, Download- oder Supportseite verlangt das nicht. Seite schließen und Software oder Hilfsanweisungen ausschließlich direkt über die offizielle Website des jeweiligen Anbieters beziehen. 214