Akaun Reddit HBO Max Dirampas untuk Sebar Malware ClickFix kepada Pengguna Mac dan Windows

Akaun yang dipercayai boleh menjadikan iklan berniat jahat kelihatan seperti urusan biasa. Dalam kes ini, penyelidik berkata penyerang telah merampas akaun Reddit u/hbomax yang disahkan dan menggunakannya untuk mengedarkan iklan ClickFix. Iklan tersebut membawa pelawat Windows dan macOS ke arah malware pencuri maklumat. Insiden ini nampaknya melibatkan penyalahgunaan akaun serta akses pengiklanan itu—bukan bukti bahawa infrastruktur HBO Max atau Warner Bros. Discovery telah diceroboh. 1921

Apa yang berlaku

Dalam tempoh kira-kira 48 jam, akaun yang terjejas itu menyiarkan 108 iklan berniat jahat, menurut penyelidik yang dipetik dalam laporan insiden tersebut. Iklan berkenaan menyamar sebagai HBO Max, alat AI/pembangun dan utiliti macOS. Penyelidik mengaitkan aktiviti itu dengan operasi lebih besar yang mereka namakan PasteSwitch. 1921

Kempen ini dikesan oleh pengguna Reddit dan disiasat oleh Hudson Rock serta ADAMnetworks, dengan penyelidik lain turut menyumbang analisis. Reddit menyatakan bahawa ia telah menghentikan sementara iklan yang terjejas dan sedang menjalankan siasatan bersama pasukan Keselamatan dan Keselamatannya. 2129

Bagaimana perangkap ClickFix berfungsi

ClickFix tidak memerlukan eksploit pelayar web. Sebaliknya, ia memperdaya mangsa supaya menjalankan arahan itu sendiri:

1. Pengguna mengklik iklan lalu tiba di halaman penstriman, perisian atau bantuan teknikal palsu.
2. Halaman itu memaparkan ralat yang meyakinkan, semakan pengesahan, CAPTCHA palsu atau arahan untuk membetulkan masalah yang kononnya berlaku.
3. Pelawat diminta menyalin dan menampal arahan ke Terminal pada macOS, atau ke kotak Run, PowerShell atau antara muka arahan lain pada Windows.
4. Apabila arahan itu dijalankan, rantaian malware penyerang bermula. 21419

Kaedah ini berkesan kerana ia menggabungkan jenama yang biasa dilihat, pengiklanan yang nampak disahkan dan tugasan penyelesaian masalah yang kelihatan remeh. Tindakan berbahaya itu seolah-olah dibenarkan oleh pengguna sendiri, bukannya datang sebagai muat turun fail boleh laksana yang jelas mencurigakan atau melalui kelemahan perisian. 114

Malware yang dihantar oleh PasteSwitch

Penyelidik menggambarkan PasteSwitch sebagai operasi penghantaran rentas platform yang fleksibel, bukannya satu kempen malware statik. Halaman pendaratan dan arahannya boleh memilih kandungan berbeza mengikut sistem operasi, serta menukar destinasi atau muatan malware dari semasa ke semasa. 182127

macOS: MacSync, komponen berkaitan AMOS dan umpan kripto

Cabang macOS dilaporkan menghantar komponen pencuri maklumat MacSync dan yang berkaitan dengan AMOS Helper. Kempen ClickFix yang menggunakan utiliti macOS palsu serta arahan Terminal juga pernah didokumenkan oleh Microsoft, menunjukkan bagaimana arahan yang ditampal boleh melancarkan pemuat malware yang dikaburkan pada Mac. 1811

Penyelidik yang mengaitkan kempen ini dengan insiden HBO Max turut melaporkan umpan bertemakan dompet kripto yang menyamar sebagai Ledger, Trezor dan Exodus. Operasi itu termasuk tingkah laku merampas papan klip: malware boleh memantau alamat dompet yang disalin, kemudian menggantikannya dengan alamat milik penyerang sebelum pemindahan dibuat. 2127

Windows: pemuat yang kelihatan seperti MP3 dan Amatera Stealer

Rantaian penghantaran untuk Windows dilaporkan menggunakan fail poliglot yang dipersembahkan sebagai MP3 tetapi boleh bertindak sebagai pemuat HTA. Rantaian ini akhirnya membawa kepada Amatera Stealer. Amatera—juga dikenali sebagai ACR atau AcridRain Stealer—ialah pencuri kelayakan dan maklumat untuk Windows yang pernah muncul dalam kempen ClickFix, pengesahan palsu, iklan berniat jahat dan rantaian pemuat berbilang peringkat. 1824

Bagi kedua-dua sistem operasi, kesannya mungkin lebih besar daripada kebocoran satu kata laluan. Malware pencuri maklumat boleh menyasarkan kelayakan yang disimpan dalam pelayar, sesi log masuk aktif, data tersimpan dan maklumat dompet mata wang kripto. 418

Mengapa laluan berasaskan rantaian blok penting

Penyelidik mengaitkan PasteSwitch dengan infrastruktur yang menggunakan kontrak pintar BNB Smart Chain sebagai laluan gaya dead drop. Operasi yang dilaporkan itu bertukar-ganti antara 36 domain dari Mac hingga Julai 2026. 21

Ia menyerupai corak ClickFix yang lebih meluas, apabila laman yang telah dikompromi mengambil arahan atau data laluan muatan malware daripada kontrak BNB Smart Chain. Oleh sebab pengendali boleh mengubah arahan dalam rantaian tanpa perlu mengubah setiap laman yang dikompromi, pasukan pertahanan tidak boleh bergantung semata-mata pada penyekatan satu URL atau satu hash fail. 33639

Perkara yang masih belum diketahui

Soalan paling penting yang masih belum terjawab ialah bagaimana penyerang memperoleh kawalan terhadap akaun Reddit HBO Max atau akses pengiklanannya. Laporan awam belum membuktikan sama ada puncanya ialah kelayakan dicuri, token sesi dicuri, pengesahan berbilang faktor yang lemah atau dipintas, akses pihak ketiga, atau kaedah lain. 1921

Tiada juga kiraan awam yang boleh dipercayai tentang jumlah paparan iklan, klik, arahan yang dijalankan, jangkitan, kerugian kewangan atau pengguna yang terjejas. Melihat iklan sahaja tidak mencukupi untuk menyebabkan jangkitan; mangsa masih perlu mengikut arahan halaman tersebut dan menjalankan arahan itu. Selain itu, tiada bukti awam bahawa insiden ini menembusi sistem korporat, pelanggan, produksi atau penstriman Warner Bros. Discovery. 1921

Mengapa kes ini penting melangkaui HBO Max

ClickFix semakin meluas sebagai teknik kejuruteraan sosial yang menyasarkan Windows dan macOS. Microsoft memberi amaran bahawa kempen seumpama ini mengeksploit kecenderungan orang ramai untuk menyelesaikan masalah teknikal kecil, termasuk melalui CAPTCHA dan gesaan pengesahan palsu. Laporan berasingan pula mengenal pasti lebih 5,400 laman web yang dikompromi dan menyajikan umpan ClickFix dengan infrastruktur muatan berasaskan rantaian blok. 143

Pengajarannya mudah tetapi penting: jangan percaya arahan hanya kerana ia muncul selepas iklan, pada laman yang kelihatan seperti jenama dikenali, atau di sebalik gesaan pengesahan. Berhenti jika mana-mana halaman meminta anda menampal teks ke Terminal, Run, PowerShell atau Windows Terminal. Tutup halaman itu dan dapatkan perisian atau arahan sokongan terus daripada laman rasmi penyedia berkenaan. 214