Un compte Reddit de HBO Max détourné a diffusé des pubs piégées ClickFix

Un compte apparemment digne de confiance peut rendre une publicité malveillante tout à fait ordinaire. Dans cette affaire, des chercheurs indiquent que des attaquants ont détourné le compte Reddit vérifié u/hbomax et s’en sont servis pour diffuser des publicités ClickFix qui dirigeaient les visiteurs sous Windows et macOS vers des logiciels voleurs d’informations. L’incident semble relever d’un abus du compte et de ses accès publicitaires, et non d’une compromission établie de l’infrastructure de HBO Max ou de Warner Bros. Discovery. 1921

Ce qui s’est passé

Sur environ 48 heures, le compte compromis a diffusé 108 publicités malveillantes, selon les chercheurs cités dans les enquêtes sur l’incident. Les annonces imitaient HBO Max, mais aussi des outils d’IA et de développement ainsi que des utilitaires macOS. Les chercheurs ont rattaché l’activité à une opération plus large qu’ils ont baptisée PasteSwitch. 1921

La campagne a été repérée par des utilisateurs de Reddit, puis étudiée par Hudson Rock et ADAMnetworks, avec la contribution d’autres chercheurs. Reddit a indiqué avoir temporairement suspendu les publicités concernées et enquêter avec ses équipes Security et Safety. 2129

Comment le piège ClickFix fonctionnait

ClickFix n’a pas besoin d’exploiter une faille du navigateur : il cherche plutôt à convaincre la cible d’exécuter elle-même une commande.

1. L’utilisateur clique sur une publicité et arrive sur une fausse page de streaming, de logiciel ou de dépannage.
2. Cette page affiche une erreur crédible, une étape de vérification, un faux CAPTCHA ou des instructions pour résoudre un prétendu problème.
3. Elle invite le visiteur à copier-coller une commande dans Terminal sur macOS, ou dans Exécuter, PowerShell ou une autre interface de commande sous Windows.
4. L’exécution de cette commande lance la chaîne d’infection. 21419

La méthode est efficace parce qu’elle associe des marques familières, une publicité semblant provenir d’un compte vérifié et une tâche de dépannage banale. L’acte malveillant est autorisé par l’utilisateur lui-même, plutôt que d’arriver sous la forme d’un téléchargement manifestement suspect ou de l’exploitation d’une vulnérabilité logicielle. 114

Ce que PasteSwitch installait

Les chercheurs décrivent PasteSwitch comme une opération de diffusion multiplateforme adaptable, et non comme une campagne de malware figée. Ses pages d’atterrissage et ses commandes pouvaient choisir un contenu différent selon le système d’exploitation et modifier, au fil du temps, les destinations ou les charges malveillantes. 182127

Sur macOS : MacSync, composants liés à AMOS et leurres crypto

La branche macOS aurait diffusé des composants voleurs de données MacSync et liés à AMOS Helper. Microsoft a aussi documenté des campagnes ClickFix reposant sur de faux utilitaires macOS et des instructions dans Terminal, montrant comment une commande collée peut lancer un chargeur obfusqué sur un Mac. 1811

Les chercheurs associés à l’incident HBO Max ont également signalé des leurres imitant les portefeuilles matériels ou logiciels Ledger, Trezor et Exodus. L’opération incluait un comportement de détournement du presse-papiers : le malware peut surveiller une adresse de portefeuille crypto copiée et la remplacer, avant un transfert, par une adresse contrôlée par les attaquants. 2127

Sur Windows : un chargeur déguisé en MP3 et Amatera Stealer

La chaîne Windows aurait utilisé un fichier polyglotte présenté comme un MP3, mais pouvant fonctionner comme chargeur HTA, avant de mener à Amatera Stealer. Amatera, aussi appelé ACR ou AcridRain Stealer, est un voleur d’identifiants et de données pour Windows déjà observé dans des campagnes ClickFix, de fausse vérification, de malvertising et de chargeurs en plusieurs étapes. 1824

Quel que soit le système, l’enjeu peut dépasser le vol d’un mot de passe isolé : les voleurs d’informations peuvent cibler les identifiants stockés dans le navigateur, les sessions actives, des données enregistrées et les informations de portefeuilles de cryptomonnaies. 418

Pourquoi le routage via la blockchain complique la défense

Les chercheurs ont lié PasteSwitch à une infrastructure utilisant des contrats intelligents de la BNB Smart Chain comme mécanisme de routage de type « dead drop », c’est-à-dire un point de récupération indirect des instructions. L’opération aurait fait tourner 36 domaines entre mars et juillet 2026. 21

Cela rappelle une tendance plus large de ClickFix : des sites compromis récupèrent des instructions ou des informations de routage depuis des contrats de la BNB Smart Chain. Les opérateurs peuvent ainsi modifier les instructions enregistrées sur la blockchain sans devoir mettre à jour chacun des sites compromis. Bloquer une seule URL ou une seule empreinte de fichier ne suffit donc pas nécessairement. 33639

Ce qui reste inconnu

La principale question non résolue est la manière dont les attaquants ont pris le contrôle du compte Reddit de HBO Max ou de son accès publicitaire. Les informations publiques ne permettent pas de dire s’il s’agissait d’identifiants volés, d’un jeton de session dérobé, d’une authentification multifacteur insuffisante ou contournée, d’un accès tiers, ou d’un autre procédé. 1921

Il n’existe pas non plus de bilan public fiable sur le nombre d’impressions publicitaires, de clics, de commandes exécutées, d’infections, de pertes financières ou de personnes touchées. Voir une publicité ne suffisait pas pour être infecté : il fallait encore suivre les instructions de la page et lancer la commande. Aucune preuve publique n’établit par ailleurs que l’incident a atteint les systèmes d’entreprise, les systèmes clients, de production ou de streaming de Warner Bros. Discovery. 1921

Pourquoi cette affaire dépasse le cas de HBO Max

ClickFix est devenu une technique d’ingénierie sociale très utilisée sur Windows comme sur macOS. Microsoft a averti que ces campagnes exploitent le réflexe de résoudre un petit problème technique, notamment par de faux CAPTCHA ou de fausses vérifications. D’autres travaux ont identifié plus de 5 400 sites compromis diffusant des leurres ClickFix avec une infrastructure de charge utile liée à la blockchain. 143

La leçon durable est simple : ne faites pas confiance à une commande uniquement parce qu’elle apparaît après une publicité, sur un site qui semble familier ou derrière une demande de vérification. Si une page vous demande de coller du texte dans Terminal, Exécuter, PowerShell ou Windows Terminal, arrêtez-vous. Fermez la page et obtenez le logiciel ou les consignes d’assistance directement sur le site officiel de l’éditeur. 214