Una cuenta de HBO Max en Reddit fue usada para distribuir malware ClickFix

Una cuenta de confianza puede hacer que un anuncio malicioso parezca normal. En este caso, investigadores indicaron que atacantes tomaron el control de la cuenta verificada u/hbomax en Reddit y la usaron para distribuir anuncios ClickFix que llevaban a usuarios de Windows y macOS hacia malware diseñado para robar información. El incidente parece ser un abuso de la cuenta y de su acceso publicitario; no constituye una prueba de que la infraestructura de HBO Max o Warner Bros. Discovery haya sido vulnerada. 1921

Qué ocurrió

Durante unas 48 horas, la cuenta comprometida publicó 108 anuncios maliciosos, según los investigadores citados en los reportes. Los anuncios suplantaban a HBO Max, herramientas de inteligencia artificial y desarrollo, además de utilidades para macOS. Los analistas vincularon la actividad con una operación más amplia a la que llamaron PasteSwitch. 1921

Usuarios de Reddit detectaron la campaña, que fue investigada por Hudson Rock y ADAMnetworks, con aportes de otros investigadores. Reddit declaró que había detenido temporalmente los anuncios afectados y que investigaba el caso junto con sus equipos de Seguridad y Confianza y Seguridad. 2129

Cómo funcionaba el engaño ClickFix

ClickFix no necesita explotar una vulnerabilidad del navegador. Su objetivo es convencer a la propia víctima de ejecutar un comando:

1. La persona hace clic en un anuncio y llega a una página falsa de streaming, software o soporte técnico.
2. La web muestra un error convincente, una verificación, un CAPTCHA falso o instrucciones para solucionar un supuesto problema.
3. Pide copiar y pegar un comando en Terminal de macOS o en Ejecutar, PowerShell u otra interfaz de comandos de Windows.
4. Al ejecutar el comando, se inicia la cadena de malware del atacante. 21419

La técnica resulta eficaz porque combina marcas conocidas, publicidad aparentemente verificada y una tarea cotidiana de resolución de problemas. La acción dañina es autorizada por el usuario, en vez de llegar como una descarga ejecutable evidentemente sospechosa o mediante la explotación de un fallo de software. 114

Qué distribuía PasteSwitch

Los investigadores describieron PasteSwitch como una operación flexible de distribución multiplataforma, no como una sola campaña con malware estático. Sus páginas de destino y comandos podían seleccionar contenido distinto según el sistema operativo y modificar destinos o cargas maliciosas con el tiempo. 182127

macOS: MacSync, componentes relacionados con AMOS y señuelos cripto

La rama para macOS habría distribuido componentes ladrones vinculados con MacSync y AMOS Helper. Microsoft también ha documentado campañas ClickFix que se hacen pasar por utilidades para macOS y piden instrucciones en Terminal, lo que ilustra cómo un comando pegado puede lanzar un cargador ofuscado en un Mac. 1811

Los investigadores asociados al incidente de HBO Max también reportaron señuelos relacionados con billeteras que suplantaban a Ledger, Trezor y Exodus. La operación incluía comportamiento de secuestro del portapapeles para criptomonedas: el malware puede vigilar una dirección de billetera copiada y reemplazarla por otra controlada por el atacante antes de que se realice una transferencia. 2127

Windows: un cargador que aparentaba ser MP3 y Amatera Stealer

La cadena de distribución para Windows habría usado un archivo políglota presentado como MP3, pero capaz de actuar como cargador HTA, para finalmente desplegar Amatera Stealer. Amatera, también conocido como ACR o AcridRain Stealer, es un ladrón de credenciales e información para Windows que ha aparecido en campañas ClickFix, falsas verificaciones, publicidad maliciosa y cadenas de carga en varias etapas. 1824

En ambos sistemas operativos, la posible consecuencia va más allá del robo de una sola contraseña: los infostealers pueden buscar credenciales guardadas en el navegador, sesiones activas, datos almacenados e información de billeteras de criptomonedas. 418

Por qué importa el uso de rutas respaldadas por blockchain

Los investigadores vincularon PasteSwitch con infraestructura que utilizaba contratos inteligentes de BNB Smart Chain como puntos de consulta para obtener rutas, a modo de dead drops o buzones muertos. Según el reporte, la operación rotó por 36 dominios entre marzo y julio de 2026. 21

Esto se parece a un patrón más amplio de ClickFix en el que sitios comprometidos obtienen instrucciones o datos de enrutamiento de cargas desde contratos de BNB Smart Chain. Como los operadores pueden cambiar las instrucciones registradas en la cadena sin modificar cada sitio comprometido, los defensores no pueden depender únicamente del bloqueo de una URL o de la huella de un archivo. 33639

Lo que todavía no se sabe

La principal incógnita es cómo los atacantes obtuvieron el control de la cuenta de HBO Max en Reddit o de su acceso publicitario. Los reportes públicos no han establecido si el origen fue el robo de credenciales, un token de sesión sustraído, una autenticación multifactor débil o eludida, acceso de terceros u otra vía. 1921

Tampoco existe un recuento público fiable de impresiones de los anuncios, clics, comandos ejecutados, infecciones, pérdidas económicas o personas afectadas. Ver el anuncio no bastaba para infectarse: la víctima debía seguir las instrucciones de la página y ejecutar el comando. Además, no hay evidencia pública de que el incidente haya alcanzado sistemas corporativos, de clientes, de producción o de streaming de Warner Bros. Discovery. 1921

Por qué el caso va más allá de HBO Max

ClickFix se ha convertido en una técnica de ingeniería social muy utilizada tanto en Windows como en macOS. Microsoft ha advertido que estas campañas explotan el impulso de resolver pequeños problemas técnicos, incluidos CAPTCHA y verificaciones falsas. En otra investigación se identificaron más de 5.400 sitios web comprometidos que servían señuelos ClickFix con infraestructura de cargas basada en blockchain. 143

La conclusión duradera es no confiar en un comando solo porque aparece tras un anuncio, en una web de aspecto conocido o detrás de una verificación. Detente si cualquier página te pide pegar texto en Terminal, Ejecutar, PowerShell o Windows Terminal. Cierra la página y busca el software o las instrucciones de soporte directamente en el sitio oficial del proveedor. 214