Akaun Reddit HBO Max Disalah Guna untuk Sebarkan 108 Iklan Malware

Lencana pengesahan dan nama jenama besar boleh menjadikan iklan berbahaya kelihatan meyakinkan. Pada September 2026, penyerang menggunakan akaun Reddit u/hbomax yang telah dikompromi untuk menyiarkan 108 iklan berniat jahat dalam tempoh kira-kira 48 jam. Kempen yang digelar PasteSwitch itu menyasarkan pengguna macOS dan Windows melalui helah kejuruteraan sosial ClickFix serta malware pencuri maklumat. 35

Yang penting, laporan awam tidak menjelaskan bagaimana penyerang mendapat akses kepada identiti pengiklanan HBO Max di Reddit. Laporan itu juga tidak membuktikan bahawa perkhidmatan penstriman HBO Max, sistem Warner Bros. Discovery atau akaun korporat lain telah diceroboh. 3

Akaun dipercayai disalah guna, bukan bukti pencerobohan platform

Penyerang memanfaatkan status pengesahan akaun tersebut untuk menyiarkan iklan yang kelihatan seolah-olah datang daripada HBO Max. Penyelidik mengenal pasti lima kelompok umpan: 40 iklan ke hbomaxx[.]app, enam ke hbomax-macos[.]com, 36 ke laman AI/pembangun palsu codex-craft[.]com, 15 ke panduan pembersihan cakera macOS palsu, dan 11 ke code-desktop[.]com. 3

Corak ini menunjukkan insiden tersebut bukan sekadar penyamaran halaman perkhidmatan penstriman. Akaun itu digunakan sebagai saluran malvertising—iklan yang menyebarkan malware—bagi operasi penghantaran malware merentas platform yang lebih luas. 35

Bagaimana ClickFix memperdaya pengguna menjalankan arahan sendiri

Kempen ClickFix tidak bergantung pada tetingkap muat turun malware biasa. Sebaliknya, laman berbahaya memaparkan langkah kononnya untuk memuat turun, mengesahkan atau membaiki sesuatu, kemudian menyuruh pelawat menyalin dan menjalankan arahan.

Dalam kempen ini, laman palsu menyamar sebagai aplikasi HBO Max untuk macOS, alat AI atau pembangun, perisian pembersihan cakera, dan produk pengekodan. Pengguna macOS disuruh menggunakan Terminal, manakala pengguna Windows dipandu ke alat seperti kotak dialog Run atau PowerShell. 34

Helah utamanya ialah mangsa sendiri memberikan kelulusan terakhir dengan menampal dan menjalankan arahan tersebut. Tindakan berbahaya itu lalu kelihatan seperti arahan pemasangan atau penyelesaian masalah biasa, walaupun ia menggunakan utiliti sistem operasi yang sah. 35

Pegangan mudahnya: laman web yang sah tidak sepatutnya meminta anda menampal arahan yang tidak difahami ke dalam Terminal, Run, Command Prompt atau PowerShell untuk memasang aplikasi, “mengesahkan” peranti, membaiki ralat atau menuntut muat turun.

Ancaman kepada pengguna macOS: MacSync, AMOS dan aplikasi dompet palsu

Penyelidik melaporkan rantaian serangan macOS menggunakan arahan yang mengambil dan menjalankan skrip, sebelum membawa kepada keluarga malware MacSync. Keupayaan yang dilaporkan termasuk mencuri kelayakan pelayar, profil Firefox, data Telegram, Apple Notes dan kata laluan macOS. 35

Operasi itu juga menggunakan komponen AMOS helper. Berdasarkan analisis yang dilaporkan, komponen ini mewujudkan mekanisme kekal dalam direktori yang dinamakan supaya kelihatan seperti komponen sistem macOS, dan boleh mendaftarkan peranti yang dijangkiti dengan infrastruktur kawalan penyerang untuk tugasan susulan. 35

PasteSwitch turut menggunakan umpan berkaitan mata wang kripto: aplikasi Ledger, Trezor Suite dan Exodus palsu yang direka untuk mengambil frasa pemulihan dompet. Frasa pemulihan boleh memberi akses kepada dompet kripto; oleh itu, dapatkan perisian dompet hanya daripada laman rasmi penyedia atau senarai gedung aplikasi yang disahkan. 3

Windows pula disasar dengan Amatera Stealer

Bagi Windows, aktiviti PasteSwitch yang dilaporkan menggunakan laluan pelaksanaan mshta dan PowerShell. Salah satu rantaian yang diperhatikan menggunakan fail polyglot, mencipta tugasan berjadual, kemudian memuatkan Amatera Stealer ke dalam memori menerusi PowerShell tersamar dan shellcode. 35

Penyelidik melaporkan Amatera boleh mengenal pasti ciri peranti, mengambil tangkapan skrin, mencuri kelayakan pelayar, menyenaraikan proses serta maklumat rangkaian, berkomunikasi dengan infrastruktur penyerang, dan menyokong penghantaran muatan tambahan. Memuatkan malware ke dalam memori boleh mengurangkan kesan fail yang jelas pada cakera, tetapi tidak menjadikan pencerobohan itu tidak berbahaya atau tidak dapat dikesan oleh perlindungan titik akhir. 35

Penukaran alamat dompet kripto melalui papan klip

Operasi ini juga dikaitkan dengan AnimateClipper dan ZigClipper, iaitu perampas papan klip berterusan yang direka untuk menggantikan alamat penerima mata wang kripto yang disalin dengan alamat milik penyerang. Jika mangsa tidak membandingkan alamat yang ditampal dengan alamat penerima sebenar, pemindahan boleh dihantar ke dompet yang salah. 45

Penyelidik turut melaporkan bahawa clipper ini boleh mendapatkan maklumat arahan dan kawalan yang berubah-ubah daripada kontrak pintar Binance Smart Chain yang dikawal penyerang. Penggunaan data kontrak sebagai “dead drop” membolehkan penyerang mengelakkan kebergantungan pada satu nama hos arahan dan kawalan yang tetap. 45

Untuk pemindahan kripto, semak keseluruhan alamat penerima pada skrin pengesahan terakhir—atau sekurang-kurangnya beberapa aksara di bahagian awal dan akhir alamat—terutamanya selepas menyalin dan menampalnya.

Tindakan Reddit dan perkara yang masih belum diketahui

Selepas iklan itu dilaporkan, seorang pentadbir Reddit dikatakan telah menjeda atau menggantungnya serta mengeskalasi perkara berkenaan kepada pasukan Keselamatan dan Keselamatan Pengguna Reddit. 34

Soalan paling penting masih belum terjawab: bagaimana u/hbomax dikompromi? Laporan awal tidak mengenal pasti sama ada akses diperoleh melalui kelayakan yang dicuri, aliran kerja pengiklanan yang terjejas, laluan orang dalam atau kaedah lain. 3

Tiada pengesahan awam tentang jumlah pengguna yang menjalankan arahan itu, data yang dicuri, atau sama ada kelayakan yang dicuri kemudiannya digunakan di tempat lain. Begitu juga, laporan yang tersedia tidak menunjukkan akses kepada platform penstriman HBO Max atau infrastruktur Warner Bros. Discovery yang lebih luas. 3

Langkah praktikal untuk pengguna dan organisasi

Insiden ini mengingatkan bahawa lencana pengesahan dan jenama dikenali bukan jaminan keselamatan. Berhati-hati dengan iklan tidak dijangka untuk aplikasi desktop, khususnya aplikasi yang lazimnya tidak wujud untuk platform berkenaan.

Jika anda sudah menjalankan arahan daripada salah satu laman ini, putuskan sambungan peranti daripada rangkaian jika sesuai, hubungi pasukan IT atau tindak balas insiden, tukar kata laluan penting menggunakan peranti yang diketahui bersih, batalkan sesi aktif, dan semak aktiviti akaun serta dompet kripto. Organisasi pula wajar melindungi akaun pengiklanan dan media sosial menggunakan pengesahan berbilang faktor yang tahan pancingan data, akses berasaskan keperluan minimum, serta pemantauan rapi terhadap kempen baharu.