Gekaapt HBO Max-account op Reddit verspreidde ClickFix-malware

Een vertrouwd account kan een kwaadaardige advertentie er heel gewoon laten uitzien. Volgens onderzoekers namen aanvallers het geverifieerde Reddit-account u/hbomax over en gebruikten zij het om ClickFix-advertenties te verspreiden. Die stuurden Windows- en macOS-bezoekers naar informatie-stelende malware. Dit wijst op misbruik van het account en de advertentietoegang, niet op een bewezen inbraak in de infrastructuur van HBO Max of Warner Bros. Discovery. 1921

Wat er gebeurde

In ongeveer 48 uur plaatste het gecompromitteerde account 108 kwaadaardige advertenties, melden onderzoekers. De advertenties deden zich voor als HBO Max, AI- en ontwikkelaarstools en macOS-hulpprogramma’s. Onderzoekers koppelden de activiteit aan een bredere operatie die zij PasteSwitch noemen. 1921

Reddit-gebruikers brachten de campagne aan het licht. Hudson Rock en ADAMnetworks onderzochten vervolgens de zaak, met bijdragen van andere onderzoekers. Reddit liet weten de betrokken advertenties tijdelijk te hebben stopgezet en de kwestie te onderzoeken met zijn Security- en Safety-teams. 2129

Zo werkte de ClickFix-val

ClickFix heeft geen lek in de browser nodig. De truc is juist dat het slachtoffer zelf een opdracht uitvoert:

1. Iemand klikt op een advertentie en komt terecht op een nagemaakte streaming-, software- of hulppagina.
2. De pagina toont een geloofwaardige foutmelding, verificatie, nep-CAPTCHA of instructie om een vermeend probleem op te lossen.
3. De bezoeker krijgt de opdracht een commando te kopiëren en te plakken in Terminal op macOS, of in Uitvoeren, PowerShell of een andere opdrachtomgeving op Windows.
4. Zodra dat commando wordt uitgevoerd, begint de malwareketen van de aanvallers. 21419

De aanpak werkt omdat bekende merken, ogenschijnlijk geverifieerde advertenties en een alledaagse technische handeling samen vertrouwen wekken. De gebruiker autoriseert de schadelijke actie zelf; er is dus geen opvallend programmabestand nodig en ook geen misbruik van een softwarekwetsbaarheid. 114

Wat PasteSwitch afleverde

PasteSwitch was volgens onderzoekers geen vaste malwarecampagne, maar een flexibele operatie voor verschillende platforms. Landingspagina’s en opdrachten konden rekening houden met het besturingssysteem en konden doelen of malwareladingen in de loop van de tijd veranderen. 182127

macOS: MacSync, AMOS-gerelateerde onderdelen en cryptolokken

De macOS-tak zou MacSync en stealeronderdelen rond AMOS Helper hebben afgeleverd. Microsoft documenteerde ook andere ClickFix-campagnes waarin valse macOS-hulpprogramma’s en Terminal-instructies worden gebruikt om een versluierde loader op een Mac te starten. 1811

Onderzoekers die de HBO Max-zaak volgden, zagen bovendien lokpagina’s die zich voordeden als Ledger, Trezor en Exodus. De operatie bevatte gedrag voor het kapen van cryptoadressen op het klembord: malware kan een gekopieerd walletadres vervangen door een adres van de aanvaller voordat iemand een transactie uitvoert. 2127

Windows: een als MP3 vermomde loader en Amatera Stealer

Voor Windows gebruikte de keten naar verluidt een polyglotbestand: het zag eruit als een MP3, maar kon ook als HTA-loader functioneren. Uiteindelijk leidde dat tot Amatera Stealer. Amatera, ook bekend als ACR of AcridRain Stealer, is Windows-malware voor het stelen van inloggegevens en andere informatie. De malware dook eerder op in ClickFix-, nepverificatie-, malvertising- en meerstaps-loadercampagnes. 1824

Op beide besturingssystemen kan de schade verder reiken dan één wachtwoord. Infostealers kunnen browserinloggegevens, actieve sessies, opgeslagen gegevens en informatie van cryptowallets buitmaken. 418

Waarom routering via blockchain ertoe doet

Onderzoekers koppelden PasteSwitch aan infrastructuur die smart contracts op BNB Smart Chain gebruikte als een soort digitaal doorgeefluik voor de actuele route. De gemelde operatie wisselde tussen maart en juli 2026 van 36 domeinen. 21

Dat past in een breder ClickFix-patroon waarbij gecompromitteerde websites instructies of gegevens voor malware-routering ophalen uit BNB Smart Chain-contracten. Aanvallers kunnen zulke instructies aanpassen zonder elke besmette website te wijzigen. Daarom is alleen één URL of bestands-hash blokkeren voor verdedigers vaak onvoldoende. 33639

Wat nog niet bekend is

De belangrijkste open vraag is hoe de aanvallers controle kregen over het HBO Max-account op Reddit of over de advertentietoegang. Publieke berichtgeving heeft niet vastgesteld of het ging om gestolen inloggegevens, een gestolen sessietoken, zwakke of omzeilde multifactorauthenticatie, toegang via een derde partij of een andere route. 1921

Ook zijn er geen betrouwbare publieke cijfers over advertentieweergaven, klikken, uitgevoerde opdrachten, besmettingen, financiële schade of aantallen getroffen gebruikers. Alleen een advertentie zien was niet genoeg om besmet te raken: het slachtoffer moest de instructies volgen en het commando uitvoeren. Er is evenmin publiek bewijs dat het incident doorwerkte naar bedrijfs-, klant-, productie- of streamingsystemen van Warner Bros. Discovery. 1921

Waarom deze zaak breder van belang is

ClickFix is uitgegroeid tot een veelgebruikte social-engineeringtechniek op zowel Windows als macOS. Microsoft waarschuwde dat campagnes inspelen op de reflex om kleine technische problemen snel op te lossen, bijvoorbeeld via een valse CAPTCHA of verificatiemelding. Afzonderlijke berichtgeving meldde meer dan 5.400 gecompromitteerde websites die ClickFix-lokken met blockchain-gebaseerde malware-infrastructuur serveerden. 143

De blijvende les is eenvoudig: vertrouw een commando niet alleen omdat het verschijnt na een advertentie, op een bekend ogende website of achter een verificatiemelding. Stop meteen als een pagina je vraagt tekst te plakken in Terminal, Uitvoeren, PowerShell of Windows Terminal. Sluit de pagina en haal software of ondersteuningsinstructies rechtstreeks op bij de officiële website van de leverancier. 214