Akun Reddit HBO Max Dibajak untuk Sebar Malware ClickFix

Kepercayaan pada akun terverifikasi dapat membuat iklan berbahaya terlihat wajar. Dalam insiden ini, peneliti menyatakan pelaku membajak akun Reddit terverifikasi u/hbomax lalu memakainya untuk menyebarkan iklan ClickFix yang mengarahkan pengguna Windows dan macOS ke malware pencuri informasi. Insiden ini tampaknya merupakan penyalahgunaan akun dan akses iklan, bukan bukti bahwa infrastruktur HBO Max atau Warner Bros. Discovery telah diretas. 1921

Apa yang terjadi?

Dalam sekitar 48 jam, akun yang dikompromikan itu menjalankan 108 iklan berbahaya, menurut peneliti yang dikutip dalam laporan insiden. Iklan tersebut menyamar sebagai HBO Max, alat AI/pengembang, serta utilitas macOS. Aktivitas itu dikaitkan dengan operasi yang oleh peneliti disebut PasteSwitch. 1921

Kampanye ini pertama kali disorot pengguna Reddit, lalu dianalisis oleh Hudson Rock dan ADAMnetworks dengan kontribusi peneliti lain. Reddit mengatakan telah menghentikan sementara iklan yang terdampak dan sedang menyelidikinya bersama tim Security dan Safety. 2129

Cara kerja jebakan ClickFix

ClickFix tidak perlu mengeksploitasi celah pada browser. Teknik ini justru membujuk korban agar menjalankan perintahnya sendiri.

1. Pengguna mengeklik iklan lalu masuk ke laman streaming, perangkat lunak, atau dukungan teknis palsu.
2. Laman itu menampilkan pesan galat yang meyakinkan, pemeriksaan verifikasi, CAPTCHA palsu, atau instruksi untuk memperbaiki masalah yang seolah-olah terjadi.
3. Pengunjung diminta menyalin dan menempelkan perintah ke Terminal di macOS, atau ke dialog Run, PowerShell, maupun antarmuka perintah lain di Windows.
4. Saat perintah dijalankan, rangkaian malware milik penyerang dimulai. 21419

Metode ini efektif karena memadukan merek yang familier, iklan dari akun yang tampak terverifikasi, dan tugas pemecahan masalah yang terlihat sepele. Aksi berbahaya tersebut disahkan sendiri oleh pengguna, alih-alih datang sebagai unduhan program mencurigakan atau lewat eksploitasi kerentanan perangkat lunak. 114

Malware yang dikirim PasteSwitch

Peneliti menggambarkan PasteSwitch sebagai operasi distribusi lintas platform yang fleksibel, bukan satu kampanye malware statis. Halaman pendaratan dan perintahnya dapat memilih konten berbeda sesuai sistem operasi, serta mengganti tujuan atau muatan malware dari waktu ke waktu. 182127

macOS: MacSync, komponen terkait AMOS, dan umpan kripto

Untuk macOS, kampanye ini dilaporkan mengirim komponen pencuri data MacSync dan yang terkait dengan AMOS Helper. Microsoft juga pernah mendokumentasikan kampanye ClickFix dengan kedok utilitas macOS palsu dan instruksi Terminal, yang menunjukkan bagaimana satu perintah yang ditempel dapat menjalankan pemuat malware tersamarkan di Mac. 1811

Peneliti yang mengaitkan insiden ini dengan HBO Max juga melaporkan umpan bertema dompet kripto yang menyamar sebagai Ledger, Trezor, dan Exodus. Operasi tersebut menyertakan perilaku pembajakan clipboard: malware dapat memantau alamat dompet kripto yang disalin, lalu menggantinya dengan alamat milik penyerang sebelum transaksi dilakukan. 2127

Windows: pemuat yang tampak seperti MP3 dan Amatera Stealer

Pada Windows, rantai distribusi dilaporkan memakai berkas polyglot yang ditampilkan sebagai MP3, tetapi dapat berfungsi sebagai pemuat HTA dan pada akhirnya mengirim Amatera Stealer. Amatera, yang juga dikenal sebagai ACR atau AcridRain Stealer, adalah malware Windows untuk mencuri kredensial dan informasi. Malware ini pernah muncul dalam kampanye ClickFix, verifikasi palsu, iklan berbahaya, serta rantai pemuat bertahap. 1824

Di kedua sistem operasi, dampaknya dapat melampaui satu kata sandi. Infostealer dapat menargetkan kredensial browser, sesi akun yang masih aktif, data tersimpan, dan informasi dompet kripto. 418

Mengapa perutean berbasis blockchain penting?

Peneliti mengaitkan PasteSwitch dengan infrastruktur yang memakai kontrak pintar BNB Smart Chain sebagai perutean bergaya dead drop—tempat untuk mengambil instruksi atau alamat tujuan terbaru. Operasi yang dilaporkan itu berganti-ganti di antara 36 domain sepanjang Maret hingga Juli 2026. 21

Pola ini mirip dengan tren ClickFix yang lebih luas: situs yang telah dikompromikan mengambil instruksi atau data perutean muatan dari kontrak BNB Smart Chain. Karena operator dapat mengubah instruksi di blockchain tanpa mengubah setiap situs yang dibajak, pemblokiran satu URL atau satu hash berkas saja tidak cukup sebagai pertahanan jangka panjang. 33639

Hal yang masih belum diketahui

Pertanyaan utama yang belum terjawab adalah bagaimana pelaku memperoleh kendali atas akun Reddit HBO Max atau akses iklannya. Laporan publik belum membuktikan apakah penyebabnya adalah kredensial yang dicuri, token sesi yang dicuri, autentikasi multifaktor yang lemah atau berhasil dilewati, akses pihak ketiga, atau jalur lain. 1921

Belum ada pula data publik yang andal mengenai jumlah tayangan iklan, klik, perintah yang dieksekusi, infeksi, kerugian finansial, maupun pengguna yang terdampak. Melihat iklan saja tidak otomatis membuat seseorang terinfeksi; korban masih harus mengikuti instruksi laman dan menjalankan perintah tersebut. Tidak ada bukti publik bahwa insiden ini menjangkau sistem korporat, pelanggan, produksi, atau layanan streaming Warner Bros. Discovery. 1921

Mengapa kasus ini penting di luar HBO Max?

ClickFix kini menjadi teknik rekayasa sosial yang banyak dipakai terhadap Windows dan macOS. Microsoft memperingatkan bahwa kampanye semacam ini mengeksploitasi naluri pengguna untuk segera menyelesaikan masalah teknis kecil, termasuk lewat CAPTCHA dan prompt verifikasi palsu. Laporan terpisah juga menemukan lebih dari 5.400 situs yang dikompromikan untuk menyajikan umpan ClickFix dengan infrastruktur muatan berbasis blockchain. 143

Pesan utamanya sederhana: jangan percaya pada perintah hanya karena perintah itu muncul setelah mengeklik iklan, berada di situs yang tampak familier, atau dibungkus sebagai proses verifikasi. Berhentilah jika suatu halaman meminta Anda menempelkan teks ke Terminal, Run, PowerShell, atau Windows Terminal. Tutup halaman tersebut dan cari perangkat lunak maupun panduan dukungan langsung melalui situs resmi penyedia layanan. 214