Kaapattu HBO Maxin Reddit-tili levitti ClickFix-haittaohjelmia Mac- ja Windows-käyttäjille

Luotettu tili voi saada haitallisen mainoksen näyttämään tavalliselta. Tässä tapauksessa hyökkääjät kaappasivat tutkijoiden mukaan vahvistetun Reddit-tilin u/hbomax ja käyttivät sitä ClickFix-mainosten levittämiseen. Mainokset ohjasivat Windows- ja macOS-käyttäjiä tietoja varastaviin haittaohjelmiin. Tapaus viittaa Reddit-tilin ja sen mainostusoikeuksien väärinkäyttöön – ei siihen, että HBO Maxin tai Warner Bros. Discoveryn järjestelmiin olisi murtauduttu. 1921

Mitä tapahtui?

Vaarantuneelta tililtä julkaistiin noin 48 tunnissa 108 haitallista mainosta. Mainoksissa esiinnyttiin HBO Maxina, tekoäly- ja kehittäjätyökaluina sekä macOS-apuohjelmina. Tutkijat yhdistivät toiminnan laajempaan operaatioon, jolle he antoivat nimen PasteSwitch. 1921

Reddit-käyttäjät nostivat kampanjan esiin, minkä jälkeen Hudson Rock ja ADAMnetworks tutkivat sitä muiden tietoturvatutkijoiden avustuksella. Reddit ilmoitti keskeyttäneensä kyseiset mainokset väliaikaisesti ja tutkivansa asiaa Security- ja Safety-tiimiensä kanssa. 2129

Näin ClickFix-huijaus eteni

ClickFix ei tarvitse selaimen tietoturva-aukkoa. Sen sijaan se saa uhrin suorittamaan hyökkääjän komennon itse:

1. Käyttäjä avaa mainoksen ja päätyy väärennetylle suoratoisto-, ohjelmisto- tai tukisivulle.
2. Sivulla näytetään uskottava virheilmoitus, varmennuspyyntö, tekaistu CAPTCHA tai ohje näennäisen ongelman korjaamiseen.
3. Käyttäjää pyydetään kopioimaan ja liittämään komento macOS:n Terminaaliin tai Windowsin Suorita-ikkunaan, PowerShelliin tai muuhun komentotyökaluun.
4. Komennon suorittaminen käynnistää haittaohjelmaketjun. 21419

Menetelmä tehoaa, koska siinä yhdistyvät tutut brändit, näennäisesti vahvistettu mainonta ja arkinen vianmääritystilanne. Käyttäjä itse hyväksyy haitallisen toiminnon, joten kyse ei ole ilmeisestä ohjelmalatauksesta eikä ohjelmistohaavoittuvuuden hyödyntämisestä. 114

Mitä PasteSwitch toimitti?

Tutkijat kuvaavat PasteSwitchiä joustavaksi, useita käyttöjärjestelmiä tukevaksi haittaohjelmien toimitusoperaatioksi, eivät yhdeksi muuttumattomaksi kampanjaksi. Laskeutumissivut ja komennot saattoivat valita sisällön käyttöjärjestelmän mukaan sekä vaihtaa kohteita ja haittaohjelmia ajan mittaan. 182127

macOS: MacSync, AMOSiin liittyvät komponentit ja kryptohuijaukset

macOS-haarassa toimitettiin raporttien mukaan MacSync-tietovarasta ja AMOS Helperiin liittyviä komponentteja. Microsoft on dokumentoinut myös ClickFix-kampanjoita, joissa väärennetyt macOS-apuohjelmat ja Terminaaliin liitettävät komennot käynnistävät hämärretyn lataajan Macilla. 1811

HBO Max -tapaukseen osallistuneet tutkijat raportoivat lisäksi Ledger-, Trezor- ja Exodus-palveluiksi naamioiduista kryptolompakkohuijauksista. Operaatioon kuului kryptovaluuttaosoitteita vaihtavaa leikepöydän kaappausta: haittaohjelma voi havaita kopioidun lompakko-osoitteen ja korvata sen hyökkääjän osoitteella ennen siirtoa. 2127

Windows: MP3-tiedostolta näyttävä lataaja ja Amatera Stealer

Windowsin toimitusketjussa käytettiin polyglottitiedostoa, joka esitettiin MP3-tiedostona mutta pystyi toimimaan HTA-lataajana. Ketju johti lopulta Amatera Stealeriin. Amatera, joka tunnetaan myös nimillä ACR ja AcridRain Stealer, on Windowsille tarkoitettu tunnus- ja tietovarashaittaohjelma, jota on nähty ClickFix-, valhevarmennus-, haittamainos- ja monivaiheisissa lataajakampanjoissa. 1824

Kummallakin käyttöjärjestelmällä seuraukset voivat ulottua yhtä salasanaa laajemmalle: tietovarkaat voivat tavoitella selaimeen tallennettuja tunnuksia, aktiivisia istuntoja, tallennettuja tietoja ja kryptolompakkotietoja. 418

Miksi lohkoketjupohjainen reititys vaikeuttaa torjuntaa?

Tutkijat yhdistivät PasteSwitchin infrastruktuuriin, joka käytti BNB Smart Chainin älysopimuksia eräänlaisina dead drop -reitityspisteinä. Raportoidusti operaatio vaihtoi 36 verkkotunnusta maalis–heinäkuussa 2026. 21

Tämä muistuttaa laajempaa ClickFix-mallia, jossa murretut sivustot hakevat ohjeita tai haittaohjelmien reititystietoja BNB Smart Chainin älysopimuksista. Hyökkääjät voivat muuttaa ketjuun tallennettuja ohjeita ilman, että jokainen murrettu sivusto täytyy päivittää. Siksi puolustus ei voi perustua vain yhden URL-osoitteen tai tiedostotiivisteen estämiseen. 33639

Mitä ei vielä tiedetä?

Keskeisin avoin kysymys on, miten hyökkääjät saivat HBO Maxin Reddit-tilin tai sen mainostusoikeudet haltuunsa. Julkisissa raporteissa ei ole vahvistettu, johtuiko se varastetuista tunnuksista, istuntotunnisteesta, heikosta tai ohitetusta monivaiheisesta tunnistautumisesta, kolmannen osapuolen käyttöoikeuksista vai jostakin muusta. 1921

Myöskään mainosnäyttöjen, klikkausten, suoritettujen komentojen, tartuntojen, rahallisten menetysten tai kohteeksi joutuneiden käyttäjien määristä ei ole luotettavaa julkista laskelmaa. Pelkkä mainoksen näkeminen ei aiheuttanut tartuntaa: uhrin täytyi vielä noudattaa sivun ohjeita ja suorittaa komento. Julkista näyttöä ei myöskään ole siitä, että tapaus olisi ulottunut Warner Bros. Discoveryn yritys-, asiakas-, tuotanto- tai suoratoistojärjestelmiin. 1921

Miksi tapaus on tärkeä myös HBO Maxin ulkopuolella?

ClickFixistä on tullut laajasti käytetty sosiaalisen manipuloinnin tekniikka sekä Windowsissa että macOS:ssä. Microsoft on varoittanut kampanjoista, jotka hyödyntävät ihmisten taipumusta korjata pieniltä vaikuttavia teknisiä ongelmia, kuten vääriä CAPTCHA- ja varmennuskehotteita. Erillisessä raportoinnissa tunnistettiin yli 5 400 murrettua sivustoa, jotka tarjoilivat ClickFix-huijauksia lohkoketjupohjaisen haittaohjelmainfrastruktuurin kautta. 143

Pysyvä opetus on selkeä: komentoa ei pidä luottaa vain siksi, että se tulee mainoksen kautta, tutulta näyttävältä sivustolta tai varmennuspyynnön jälkeen. Jos sivu pyytää liittämään tekstiä Terminaaliin, Suorita-ikkunaan, PowerShelliin tai Windows Terminaaliin, lopeta siihen. Sulje sivu ja hae ohjelmisto tai tukiohjeet suoraan palveluntarjoajan viralliselta sivustolta. 214