हाइजैक हुए HBO Max Reddit अकाउंट से चले ClickFix विज्ञापन: Mac और Windows यूज़र्स तक कैसे पहुंचा मैलवेयर

भरोसेमंद दिखने वाला अकाउंट किसी खतरनाक विज्ञापन को भी सामान्य बना सकता है। इस मामले में शोधकर्ताओं के अनुसार हमलावरों ने वेरिफाइड u/hbomax Reddit अकाउंट पर नियंत्रण हासिल किया और उससे ClickFix विज्ञापन चलाए। ये विज्ञापन Windows और macOS यूज़र्स को सूचना चुराने वाले मैलवेयर की ओर ले जाते थे। उपलब्ध जानकारी इसे अकाउंट और उसके विज्ञापन-अधिकार के दुरुपयोग के रूप में दिखाती है—HBO Max या Warner Bros. Discovery के इन्फ्रास्ट्रक्चर में सेंध का प्रमाण नहीं। 1921

क्या हुआ था

रिपोर्टों में उद्धृत शोधकर्ताओं के मुताबिक, समझौता किए गए अकाउंट से लगभग 48 घंटों में 108 दुर्भावनापूर्ण विज्ञापन चलाए गए। इनमें HBO Max के साथ-साथ AI/डेवलपर टूल और macOS यूटिलिटी की नकल की गई। शोधकर्ताओं ने इस गतिविधि को व्यापक PasteSwitch ऑपरेशन से जोड़ा। 1921

Reddit यूज़र्स ने पहले इस अभियान को सामने रखा, जिसके बाद Hudson Rock और ADAMnetworks ने इसकी जांच की; अन्य शोधकर्ताओं ने भी विश्लेषण में योगदान दिया। Reddit ने कहा कि उसने प्रभावित विज्ञापनों को अस्थायी रूप से रोक दिया है और उसकी Security व Safety टीमें मामले की जांच कर रही हैं। 2129

ClickFix का जाल कैसे काम करता है

ClickFix को ब्राउज़र की किसी तकनीकी कमजोरी का फायदा उठाने की जरूरत नहीं होती। इसमें व्यक्ति को ही हमलावर की कमांड चलाने के लिए राजी किया जाता है:

1. यूज़र विज्ञापन पर क्लिक कर नकली स्ट्रीमिंग, सॉफ्टवेयर या ट्रबलशूटिंग पेज पर पहुंचता है।
2. पेज पर विश्वसनीय दिखने वाला एरर, वेरिफिकेशन चेक, नकली CAPTCHA या किसी कथित समस्या को ठीक करने का संदेश दिखाई देता है।
3. यूज़र को macOS में Terminal या Windows में Run डायलॉग, PowerShell अथवा किसी अन्य कमांड इंटरफेस में एक कमांड कॉपी-पेस्ट करने को कहा जाता है।
4. कमांड चलाते ही मैलवेयर की श्रृंखला शुरू हो जाती है। 21419

यह तरीका परिचित ब्रांड, जाहिर तौर पर वेरिफाइड विज्ञापन और मामूली-सी तकनीकी समस्या ठीक करने की आदत—तीनों का फायदा उठाता है। यहां कोई स्पष्ट संदिग्ध डाउनलोड या सॉफ्टवेयर एक्सप्लॉइट नहीं दिखता; नुकसानदेह कार्रवाई यूज़र खुद अधिकृत कर देता है। 114

PasteSwitch से कौन-सा मैलवेयर पहुंचाया गया

शोधकर्ताओं ने PasteSwitch को किसी एक स्थिर मैलवेयर अभियान के बजाय लचीले, क्रॉस-प्लेटफॉर्म डिलीवरी ऑपरेशन के रूप में बताया। इसके लैंडिंग पेज और कमांड ऑपरेटिंग सिस्टम के आधार पर अलग सामग्री चुन सकते थे, और समय के साथ गंतव्य व पेलोड बदल सकते थे। 182127

macOS: MacSync, AMOS-संबंधित कंपोनेंट और क्रिप्टो लुभावने पेज

रिपोर्टों के अनुसार macOS शाखा में MacSync और AMOS Helper-संबंधित इन्फोस्टीलर कंपोनेंट पहुंचाए गए। Microsoft ने नकली macOS यूटिलिटी और Terminal निर्देशों वाले ClickFix अभियानों को भी दर्ज किया है, जो दिखाते हैं कि पेस्ट की गई कमांड Mac पर एक अस्पष्ट (obfuscated) लोडर शुरू कर सकती है। 1811

HBO Max घटना से जुड़े शोधकर्ताओं ने Ledger, Trezor और Exodus की नकल वाले क्रिप्टो-वॉलेट लुभावने पेज भी बताए। इस ऑपरेशन में क्रिप्टोकरेंसी क्लिपबोर्ड-हाइजैकिंग व्यवहार शामिल था: मैलवेयर कॉपी किए गए वॉलेट पते को देखकर उसे हमलावर के नियंत्रित पते से बदल सकता है, ताकि बाद में किया गया ट्रांसफर गलत खाते में पहुंच जाए। 2127

Windows: MP3 जैसा दिखने वाला लोडर और Amatera Stealer

Windows डिलीवरी चेन में कथित तौर पर ऐसी पॉलीग्लॉट फाइल इस्तेमाल हुई जो MP3 की तरह दिखती थी, लेकिन HTA लोडर की तरह काम कर सकती थी। इसके बाद Amatera Stealer पहुंचता था। Amatera को ACR या AcridRain Stealer भी कहा जाता है और यह Windows पर क्रेडेंशियल तथा अन्य जानकारी चुराने वाला मैलवेयर है, जो ClickFix, नकली वेरिफिकेशन, मैलवर्टाइजिंग और मल्टी-स्टेज लोडर अभियानों में देखा गया है। 1824

दोनों ऑपरेटिंग सिस्टम पर खतरा केवल एक पासवर्ड तक सीमित नहीं है। इन्फोस्टीलर ब्राउज़र में सहेजे गए लॉगिन, सक्रिय सेशन, स्टोर किया गया डेटा और क्रिप्टो-वॉलेट जानकारी को निशाना बना सकते हैं। 418

ब्लॉकचेन-आधारित रूटिंग क्यों अहम है

शोधकर्ताओं ने PasteSwitch को ऐसे इन्फ्रास्ट्रक्चर से जोड़ा जिसमें BNB Smart Chain के स्मार्ट कॉन्ट्रैक्ट्स को डेड-ड्रॉप जैसी रूटिंग के लिए इस्तेमाल किया गया। रिपोर्ट के मुताबिक, ऑपरेशन ने मार्च से जुलाई 2026 के बीच 36 डोमेन बदले। 21

यह उस व्यापक ClickFix पैटर्न से मिलता-जुलता है जिसमें समझौता किए गए वेबसाइट BNB Smart Chain कॉन्ट्रैक्ट्स से निर्देश या पेलोड-रूटिंग डेटा लेते हैं। ऑपरेटर हर संक्रमित साइट बदले बिना ऑन-चेन निर्देश बदल सकते हैं। इसलिए सिर्फ एक URL या फाइल हैश ब्लॉक कर देना पर्याप्त बचाव नहीं है। 33639

अभी क्या अज्ञात है

सबसे बड़ा अनुत्तरित सवाल यह है कि हमलावरों ने HBO Max के Reddit अकाउंट या उसके विज्ञापन-अधिकार तक पहुंच कैसे बनाई। सार्वजनिक रिपोर्टिंग ने यह स्थापित नहीं किया है कि वजह चोरी हुए क्रेडेंशियल थे, सेशन टोकन चोरी हुआ था, मल्टी-फैक्टर ऑथेंटिकेशन कमजोर या बायपास हुआ, किसी तीसरे पक्ष की पहुंच का दुरुपयोग हुआ, या कोई अन्य रास्ता था। 1921

विज्ञापनों के इम्प्रेशन, क्लिक, कमांड चलाए जाने, संक्रमण, वित्तीय नुकसान या प्रभावित यूज़र्स की विश्वसनीय सार्वजनिक गिनती भी उपलब्ध नहीं है। विज्ञापन देखना संक्रमण के बराबर नहीं था; संक्रमित होने के लिए यूज़र को पेज के निर्देश मानकर कमांड चलानी पड़ती थी। साथ ही, सार्वजनिक रूप से ऐसा कोई प्रमाण नहीं है कि घटना Warner Bros. Discovery के कॉर्पोरेट, ग्राहक, प्रोडक्शन या स्ट्रीमिंग सिस्टम तक पहुंची। 1921

HBO Max से आगे की चेतावनी

ClickFix अब Windows और macOS, दोनों पर व्यापक रूप से इस्तेमाल की जा रही सोशल-इंजीनियरिंग तकनीक बन चुकी है। Microsoft ने चेतावनी दी है कि ऐसे अभियान लोगों की छोटी तकनीकी दिक्कत तुरंत सुलझाने की प्रवृत्ति का लाभ उठाते हैं—मिसाल के तौर पर नकली CAPTCHA और वेरिफिकेशन प्रॉम्प्ट। अलग रिपोर्टिंग में 5,400 से अधिक समझौता की गई वेबसाइटों का पता चला, जो ब्लॉकचेन-आधारित पेलोड इन्फ्रास्ट्रक्चर के साथ ClickFix लुभावने पेज दिखा रही थीं। 143

याद रखने वाला नियम आसान है: किसी विज्ञापन, परिचित दिखने वाली वेबसाइट या वेरिफिकेशन प्रॉम्प्ट के कहने पर भी कोई कमांड न चलाएं। यदि कोई पेज आपसे Terminal, Run, PowerShell या Windows Terminal में टेक्स्ट पेस्ट करने को कहे, पेज बंद कर दें और सॉफ्टवेयर या सहायता के लिए सीधे संबंधित कंपनी की आधिकारिक वेबसाइट पर जाएं। 214