חשבון Reddit המאומת של HBO Max שימש להפצת נוזקות ClickFix

חשבון מותג מאומת מעניק למודעה אמינות שלא קיימת בדרך כלל בהונאה. בספטמבר 2026 ניצלו תוקפים את חשבון ה-Reddit המאומת u/hbomax כדי לפרסם 108 מודעות זדוניות במשך כ-48 שעות, במסגרת פעילות שכונתה PasteSwitch. המודעות כוונו למשתמשי macOS ו-Windows והשתמשו בהנדסה חברתית מסוג ClickFix כדי להפיץ נוזקות לגניבת מידע. 35

חשוב להדגיש: הדיווחים הפומביים אינם מבהירים כיצד בדיוק הושגה הגישה לזהות הפרסום של HBO Max ב-Reddit. גם אין בהם הוכחה שנפרצו שירות הסטרימינג של HBO Max, מערכות Warner Bros. Discovery או חשבונות ארגוניים אחרים. 3

לא פריצת פלטפורמה מוכחת — אלא ניצול של זהות פרסום אמינה

התוקפים מינפו את סימון האימות של החשבון כדי להפעיל מודעות שנראו כאילו יצאו מ-HBO Max. חוקרים זיהו חמש קבוצות פיתוי: 40 מודעות שהפנו ל-hbomaxx[.]app, שש ל-hbomax-macos[.]com, 36 לאתר בינה מלאכותית ופיתוח מזויף בשם codex-craft[.]com, 15 למדריך ניקוי דיסק מזויף ל-macOS ו-11 ל-code-desktop[.]com. 3

המשמעות היא שלא מדובר רק בחיקוי של שירות סטרימינג: החשבון שימש ערוץ להפצת נוזקות בפעילות רחבה, חוצת פלטפורמות. 35

כך ClickFix גורמת לקורבן להפעיל את הנוזקה בעצמו

במתקפות ClickFix אין בהכרח קובץ זדוני רגיל להורדה. במקום זאת, דף נחיתה מציג כביכול שלב של הורדה, אימות או תיקון תקלה — ומורה לגולש להעתיק ולהריץ פקודה.

האתרים המתחזים הציגו את עצמם כאפליקציית HBO Max ל-macOS, כלי בינה מלאכותית או פיתוח, תוכנות לניקוי דיסק ומוצרי קוד. למשתמשי Mac הוצע להשתמש ב-Terminal; משתמשי Windows הונחו להשתמש, בין השאר, בחלון Run או ב-PowerShell. 34

ההטעיה העיקרית הייתה אנושית: הקורבן הוא שנתן את האישור הסופי, כשלהדביק ולהריץ את הפקודה. כך פעולה זדונית נראית כמו הוראת התקנה או פתרון תקלות שגרתית, אף שהיא משתמשת בכלי מערכת לגיטימיים. 35

כלל אצבע פשוט: אתר אינטרנט לא אמור לבקש מכם להדביק פקודה לא מוכרת ב-Terminal, ב-Run, בשורת הפקודה או ב-PowerShell כדי להתקין אפליקציה, לאמת את המכשיר, לתקן שגיאה או לקבל הורדה.

מה קיבלו משתמשי macOS

לפי החוקרים, שרשראות ההדבקה ב-macOS הורידו והריצו סקריפטים שהובילו למשפחת הנוזקות MacSync. יכולות האיסוף שדווחו כוללות אישורי כניסה מדפדפנים, פרופילי Firefox, נתוני Telegram, Apple Notes וסיסמאות macOS. 35

בפעילות נעשה גם שימוש ברכיב AMOS helper. על פי הניתוח שדווח, הוא יצר מנגנון התמדה בתיקייה ששמה דמה לרכיב מערכת של macOS, ויכול היה לרשום את המכשיר הנגוע מול תשתית בשליטת התוקפים לצורך קבלת משימות נוספות. 35

PasteSwitch כללה גם פיתיונות הקשורים למטבעות קריפטוגרפיים: אפליקציות מזויפות של Ledger, ‏Trezor Suite ו-Exodus, שנועדו לאסוף ביטויי שחזור של ארנקים. ביטוי שחזור עשוי לאפשר גישה לארנק, ולכן יש להוריד תוכנת ארנק רק מאתר הספק הרשמי או מחנות אפליקציות מאומתת. 3

ב-Windows: Amatera Stealer וטעינה לזיכרון

ב-Windows נצפתה פעילות PasteSwitch שהשתמשה בנתיבי הרצה מבוססי mshta ו-PowerShell. באחת השרשראות שנצפו נעשה שימוש בקובץ פוליגלוטי, נוצרה משימה מתוזמנת, ולבסוף נטענה Amatera Stealer לזיכרון באמצעות PowerShell מוסווה ו-shellcode. 35

לפי החוקרים, Amatera מסוגלת לאפיין את המחשב, לצלם מסך, לגנוב פרטי כניסה מהדפדפן, למפות תהליכים ופרטי רשת, לתקשר עם תשתית התוקפים ולתמוך בהורדת מטענים נוספים. טעינה לזיכרון יכולה לצמצם סימנים ברורים על הדיסק, אך אינה הופכת את הפגיעה לבלתי מזיקה או לבלתי ניתנת לזיהוי בידי מערכות הגנה. 35

חטיפת הלוח והסיכון בהעברות קריפטו

הפעילות נקשרה גם ל-AnimateClipper ול-ZigClipper — נוזקות מתמשכות שמחליפות כתובת יעד של ארנק קריפטו שהועתקה ללוח, בכתובת שבשליטת התוקפים. אם הקורבן לא בודק את הכתובת שהודבקה, העברה עלולה להישלח לארנק הלא נכון. 45

החוקרים דיווחו עוד שהנוזקות יכלו לקבל פרטי שליטה ובקרה מתחלפים מחוזים חכמים בשליטת התוקפים ב-Binance Smart Chain. שימוש בנתוני חוזה כ״תיבת מתים״ דיגיטלית מפחית את התלות בשם דומיין קבוע יחיד של שרת שליטה ובקרה. 45

לפני אישור העברת קריפטו, יש להשוות את כתובת המקבל המלאה — או לפחות כמה תווים מתחילתה ומסופה — לכתובת המיועדת, במיוחד לאחר העתקה והדבקה.

תגובת Reddit ומה עדיין לא ידוע

לאחר שהמודעות דווחו, מנהל ב-Reddit השהה או עצר אותן והעביר את המקרה לצוותי האבטחה והבטיחות של הפלטפורמה, לפי הדיווחים. 34

השאלה המרכזית שנותרה ללא מענה היא כיצד נפרץ u/hbomax. בדיווחים הראשוניים לא צוין אם מדובר בפרטי גישה גנובים, בפגיעה בתהליך פרסום, בגישה של גורם פנימי או בדרך אחרת. 3

גם אין אישור פומבי לכמה אנשים הריצו את הפקודות, אילו נתונים נגנבו או אם פרטי גישה שנגנבו נוצלו בהמשך. באותה מידה, המידע הזמין אינו מוכיח גישה לפלטפורמת הסטרימינג של HBO Max או לתשתית רחבה יותר של Warner Bros. Discovery. 3

מה כדאי לקחת מהאירוע

תג אימות ומותג מוכר אינם תחליף לבדיקת מקור התוכנה. יש להתייחס בחשד למודעות שמציעות אפליקציות שולחניות לא צפויות — במיוחד אפליקציה שלכאורה קיימת לפלטפורמה שבה היא בדרך כלל אינה מוצעת.

אם כבר הורצה פקודה מאחד האתרים הללו, מומלץ לנתק את המכשיר מהרשת ככל שניתן, לפנות לצוות IT או לתגובה לאירוע, להחליף סיסמאות חשובות ממכשיר נקי, לבטל הפעלות פעילות ולבדוק חשבונות קריפטו ופעילות בארנקים. ארגונים צריכים להגן על חשבונות פרסום ורשתות חברתיות באמצעות אימות רב-שלבי עמיד בפני פישינג, הרשאות מינימליות ומעקב הדוק אחר קמפיינים חדשים.