L’account Reddit di HBO Max è stato usato per diffondere malware ClickFix

Un account ritenuto affidabile può far sembrare normale anche una pubblicità malevola. In questo caso, i ricercatori hanno riferito che gli aggressori hanno preso il controllo dell’account Reddit verificato u/hbomax e lo hanno usato per distribuire annunci ClickFix, indirizzando visitatori Windows e macOS verso malware progettati per rubare informazioni. L’episodio sembra riguardare l’abuso dell’account e del relativo accesso pubblicitario, non dimostra una violazione dell’infrastruttura di HBO Max o Warner Bros. Discovery. 1921

Che cosa è successo

Nell’arco di circa 48 ore, l’account compromesso ha pubblicato 108 annunci malevoli, secondo i ricercatori citati dalle ricostruzioni dell’incidente. Gli annunci imitavano HBO Max, strumenti di IA e sviluppo software, nonché utility per macOS; l’attività è stata collegata a un’operazione più ampia denominata PasteSwitch. 1921

La campagna è emersa grazie alle segnalazioni di utenti Reddit ed è stata analizzata da Hudson Rock e ADAMnetworks, con contributi di altri ricercatori. Reddit ha dichiarato di aver sospeso temporaneamente gli annunci coinvolti e di stare indagando con i team Security e Safety. 2129

Come funzionava l’inganno ClickFix

ClickFix non richiede di sfruttare una falla del browser. Cerca invece di persuadere la vittima a eseguire personalmente un comando:

1. L’utente fa clic sull’annuncio e raggiunge una falsa pagina di streaming, software o assistenza tecnica.
2. La pagina mostra un errore plausibile, una verifica, un CAPTCHA fittizio o istruzioni per risolvere un presunto problema.
3. Invita il visitatore a copiare e incollare un comando nel Terminale su macOS oppure nella finestra Esegui, in PowerShell o in un’altra interfaccia a riga di comando su Windows.
4. L’esecuzione del comando avvia la catena malware degli aggressori. 21419

Il metodo è efficace perché unisce marchi familiari, pubblicità apparentemente verificata e un’azione di risoluzione dei problemi che sembra ordinaria. L’operazione dannosa viene autorizzata dall’utente stesso, anziché arrivare come un download eseguibile palesemente sospetto o attraverso una vulnerabilità software. 114

I malware distribuiti da PasteSwitch

I ricercatori hanno descritto PasteSwitch come un’operazione di distribuzione flessibile e multipiattaforma, non come una singola campagna con malware statico. Le pagine di destinazione e i comandi potevano scegliere contenuti diversi in base al sistema operativo e cambiare nel tempo destinazioni o payload. 182127

macOS: MacSync, componenti legati ad AMOS e esche crypto

Per macOS, la campagna avrebbe distribuito componenti infostealer MacSync e AMOS Helper. Microsoft ha documentato anche campagne ClickFix che usano false utility macOS e istruzioni per il Terminale, mostrando come un comando incollato possa avviare un loader offuscato su un Mac. 1811

I ricercatori che hanno analizzato l’incidente HBO Max hanno segnalato inoltre esche a tema portafogli di criptovalute, che imitavano Ledger, Trezor ed Exodus. L’operazione includeva il dirottamento degli appunti: il malware può rilevare un indirizzo di wallet copiato e sostituirlo con uno controllato dagli aggressori prima che venga effettuato un trasferimento. 2127

Windows: un loader mascherato da MP3 e Amatera Stealer

Per Windows, la catena di distribuzione avrebbe usato un file poliglotta presentato come MP3 ma capace di agire come loader HTA, arrivando infine ad Amatera Stealer. Amatera, noto anche come ACR o AcridRain Stealer, è un malware Windows per il furto di credenziali e informazioni, comparso in campagne ClickFix, finte verifiche, malvertising e loader a più stadi. 1824

Su entrambi i sistemi operativi, il rischio non si limita a una singola password: gli infostealer possono prendere di mira credenziali salvate nel browser, sessioni ancora attive, dati memorizzati e informazioni dei wallet di criptovalute. 418

Perché conta l’instradamento basato su blockchain

I ricercatori hanno collegato PasteSwitch a un’infrastruttura che impiegava smart contract su BNB Smart Chain come punti di instradamento in stile dead drop. L’operazione avrebbe ruotato attraverso 36 domini tra marzo e luglio 2026. 21

Lo schema ricorda una tendenza più ampia di ClickFix: siti compromessi recuperano istruzioni o dati per l’instradamento dei payload da smart contract su BNB Smart Chain. Poiché gli operatori possono modificare le istruzioni on-chain senza aggiornare ogni sito compromesso, per i difensori non basta bloccare un solo URL o hash di file. 33639

Cosa non si sa ancora

La domanda principale resta il modo in cui gli aggressori hanno ottenuto il controllo dell’account Reddit di HBO Max o del suo accesso pubblicitario. Le informazioni pubbliche non hanno stabilito se la causa sia stata il furto di credenziali, un token di sessione sottratto, un’autenticazione a più fattori debole o aggirata, l’accesso di terze parti o un’altra via. 1921

Non esiste nemmeno una stima pubblica affidabile di impressioni pubblicitarie, clic, comandi eseguiti, infezioni, perdite economiche o utenti colpiti. Visualizzare un annuncio non era sufficiente per infettarsi: la vittima doveva seguire le istruzioni della pagina ed eseguire il comando. Non ci sono inoltre prove pubbliche che l’incidente abbia coinvolto sistemi aziendali, clienti, produzione o streaming di Warner Bros. Discovery. 1921

Perché il caso va oltre HBO Max

ClickFix è diventata una tecnica di ingegneria sociale molto diffusa sia su Windows sia su macOS. Microsoft ha avvertito che queste campagne sfruttano l’istinto delle persone di risolvere piccoli problemi tecnici, anche tramite falsi CAPTCHA e prompt di verifica; un’altra analisi ha identificato oltre 5.400 siti compromessi che servivano esche ClickFix con infrastrutture di payload basate su blockchain. 143

La lezione più utile non è fidarsi di un comando solo perché appare dopo una pubblicità, su un sito dall’aspetto noto o dietro una richiesta di verifica. Se una pagina chiede di incollare testo in Terminale, Esegui, PowerShell o Windows Terminal, fermatevi. Chiudete la pagina e cercate software o istruzioni di assistenza direttamente sul sito ufficiale del fornitore. 214