乗っ取られたHBO MaxのRedditアカウント、ClickFix広告で情報窃取マルウェアを拡散

認証済みアカウントから出た広告であれば、利用者は通常の宣伝だと受け取りやすい。今回、研究者らは、認証済みのRedditアカウント「u/hbomax」が乗っ取られ、WindowsとmacOSの利用者を情報窃取マルウェアへ導くClickFix型広告の配信に使われたと報告した。

現時点で示されているのは、Redditアカウントと広告出稿権限が悪用されたということだ。HBO Max、または親会社Warner Bros. Discoveryの社内基盤・配信基盤が侵害された証拠を意味するものではない。1921

何が起きたのか

報道で引用された研究者によると、侵害されたアカウントはおよそ48時間にわたり、108件の悪性広告を出稿した。広告はHBO Maxのほか、AI／開発者向けツール、macOSユーティリティーを装っており、研究者らは一連の活動をPasteSwitchと名付けた。1921

このキャンペーンはReddit利用者によって表面化し、Hudson RockとADAMnetworksが調査した。ほかの研究者も分析に協力している。Redditは、問題の広告を一時停止し、Security and Safetyチームが調査中だと説明した。2129

「修復してください」と見せかけるClickFixの流れ

ClickFixは、ブラウザーの脆弱性を突く手法ではない。ページの指示を信じた利用者に、攻撃者のコマンドを自ら実行させるソーシャルエンジニアリングだ。

1. 広告をクリックすると、偽の動画配信ページ、ソフト配布ページ、サポートページなどに移る。
2. ページはもっともらしいエラー、本人確認、偽CAPTCHA、トラブル解決の案内を表示する。
3. macOSではTerminal、Windowsでは「ファイル名を指定して実行」、PowerShellなどを開き、表示されたコマンドをコピー＆ペーストするよう促す。
4. 実行すると、マルウェアの感染チェーンが開始される。21419

見慣れたブランド、認証済みの広告、ありふれた「不具合の解決」を組み合わせる点が、この手口の厄介さだ。怪しい実行ファイルを直接ダウンロードさせたり、ソフトの欠陥を悪用したりするのではなく、利用者の操作として実行を承認させる。114

PasteSwitchが配布したもの

PasteSwitchは、単一の固定マルウェアを配るキャンペーンというより、OSに応じて内容を出し分け、行き先やペイロードを変えられるクロスプラットフォーム型の配布活動と説明されている。182127

macOS：MacSync、AMOS関連コンポーネント、暗号資産を狙う誘導

macOS向けの経路では、MacSyncおよびAMOS Helper関連の情報窃取コンポーネントが配布されたと報告された。Microsoftも、偽のmacOSユーティリティーとTerminalへのコマンド貼り付けを用いるClickFix事例を確認しており、貼り付けたコマンドが難読化されたローダーを起動し得ることを示している。1811

HBO Maxの事案に関係する研究者らは、Ledger、Trezor、Exodusを装う暗号資産ウォレット関連の誘導も確認したとしている。さらに、クリップボード上のウォレットアドレスを監視し、送金前に攻撃者のアドレスへ置き換える「クリップボード・ハイジャック」の挙動も含まれていた。利用者がコピーしたアドレスと違う宛先に送金してしまうおそれがある。2127

Windows：MP3に見せかけたローダーとAmatera Stealer

Windows向けの配布チェーンでは、MP3ファイルに見せかけながらHTAローダーとしても機能するポリグロットファイルが使われ、最終的にAmatera Stealerへ至ったとされる。AmateraはACR、またはAcridRain Stealerとも呼ばれるWindows向けの認証情報・情報窃取マルウェアで、ClickFix、偽の認証画面、悪性広告、多段式ローダーを使う活動で確認されている。1824

OSを問わず、情報窃取マルウェアの被害はパスワード1件にとどまらない。ブラウザー保存済みの認証情報、ログイン中のセッション、保存データ、暗号資産ウォレットに関する情報まで標的になり得る。418

ブロックチェーンを使う誘導基盤が問題となる理由

研究者らはPasteSwitchの基盤が、BNB Smart Chainのスマートコントラクトを「デッドドロップ」型の誘導先として使っていたと関連付けた。この活動は2026年3月から7月にかけて、36のドメインを切り替えていたと報告されている。21

これは、侵害されたウェブサイトがBNB Smart Chain上のコントラクトから指示やペイロードの誘導情報を取得する、より広いClickFixの傾向とも重なる。攻撃者は侵害済みサイトをすべて更新せずともオンチェーンの指示を変更できるため、単一のURLやファイルハッシュを遮断するだけでは対処しにくい。33639

なお分かっていないこと

最大の未解明点は、攻撃者がHBO MaxのRedditアカウント、あるいは広告出稿権限をどう取得したかだ。盗まれた認証情報、セッショントークンの窃取、多要素認証の不備または回避、第三者経由のアクセスなど、どの経路だったのかは公表情報からは確定していない。1921

広告の表示回数、クリック数、コマンド実行数、感染者数、金銭的被害についても、信頼できる公表集計はない。広告を見ただけで感染するわけではなく、利用者がページの指示に従いコマンドを実行した場合に感染へ進む。また、この事案がWarner Bros. Discoveryの企業システム、顧客システム、制作環境、動画配信システムに及んだという公的な証拠もない。1921

HBO Maxに限らない警告

ClickFixは、WindowsとmacOSの両方を狙う広範なソーシャルエンジニアリング手法になっている。Microsoftは、偽CAPTCHAや偽の確認画面を使い、小さな技術的問題を解決したいという利用者の心理を突く活動を警告してきた。別の調査では、ブロックチェーンを利用したペイロード基盤を伴うClickFix誘導を配信していた侵害サイトが5,400件超確認された。143

覚えておくべき実用的なルールは明快だ。広告、見慣れたサイト、CAPTCHAの後に表示されたからといって、コマンドを信頼してはいけない。 Terminal、「ファイル名を指定して実行」、PowerShell、Windows Terminalに文字列を貼り付けるよう求められたら、その場で中止してページを閉じる。ソフトの入手やサポート手順は、必ず提供元の公式サイトから確認したい。214