Przejęte konto HBO Max na Reddicie posłużyło do kampanii ClickFix

Zaufane, zweryfikowane konto może sprawić, że szkodliwa reklama wygląda zupełnie zwyczajnie. W tym przypadku badacze ustalili, że napastnicy przejęli konto u/hbomax na Reddicie i użyli go do rozpowszechniania reklam ClickFix. Reklamy kierowały użytkowników Windowsa i macOS do programów wykradających dane. Nie jest to jednak dowód na włamanie do infrastruktury HBO Max ani Warner Bros. Discovery — chodziło o nadużycie konta i dostępu do reklam. 1921

Co się wydarzyło

Według badaczy w ciągu około 48 godzin z przejętego konta opublikowano 108 złośliwych reklam. Podszywały się one pod HBO Max, narzędzia dla programistów i AI oraz narzędzia dla macOS. Badacze powiązali tę aktywność z szerszą operacją nazwaną PasteSwitch. 1921

Kampanię zauważyli użytkownicy Reddita, a następnie przeanalizowali ją specjaliści z Hudson Rock i ADAMnetworks, przy wsparciu innych badaczy. Reddit przekazał, że tymczasowo wstrzymał objęte incydentem reklamy i prowadzi dochodzenie z zespołami ds. bezpieczeństwa oraz ochrony użytkowników. 2129

Jak działała przynęta ClickFix

ClickFix nie wymaga wykorzystania luki w przeglądarce. Zamiast tego nakłania ofiarę, by sama uruchomiła polecenie:

1. Użytkownik klika reklamę i trafia na podrobioną stronę serwisu streamingowego, programu lub pomocy technicznej.
2. Strona wyświetla wiarygodnie wyglądający błąd, prośbę o weryfikację, fałszywy CAPTCHA albo instrukcję rzekomego rozwiązania problemu.
3. Nakazuje skopiować i wkleić polecenie do Terminala w macOS albo do okna Uruchamianie, PowerShella lub innego interfejsu poleceń w Windowsie.
4. Wykonanie polecenia uruchamia łańcuch infekcji. 21419

Metoda działa, bo łączy rozpoznawalną markę, pozornie wiarygodną reklamę i banalne zadanie techniczne. To użytkownik zatwierdza szkodliwe działanie, więc atak nie musi zaczynać się od widocznego pobrania pliku wykonywalnego ani od wykorzystania podatności. 114

Co dostarczał PasteSwitch

Badacze opisali PasteSwitch jako elastyczną, wieloplatformową operację dostarczania złośliwego oprogramowania, a nie pojedynczą statyczną kampanię. Jej strony i polecenia mogły dobierać treść do systemu operacyjnego oraz zmieniać cele przekierowań i ładunki w czasie. 182127

macOS: MacSync, komponenty powiązane z AMOS i przynęty kryptowalutowe

Według doniesień gałąź ataku na macOS dostarczała komponenty kradnące dane MacSync oraz AMOS Helper. Microsoft opisywał też kampanie ClickFix z fałszywymi narzędziami dla macOS i instrukcjami użycia Terminala, pokazując, jak wklejone polecenie może uruchomić zaciemniony program ładujący na Macu. 1811

Badacze analizujący incydent z HBO Max wskazali również przynęty podszywające się pod portfele Ledger, Trezor i Exodus. Operacja obejmowała przechwytywanie schowka kryptowalutowego: malware może wykryć skopiowany adres portfela i podmienić go na adres kontrolowany przez napastnika, zanim użytkownik zleci transfer. 2127

Windows: loader udający MP3 i Amatera Stealer

Łańcuch infekcji w Windowsie miał wykorzystywać plik poliglotyczny przedstawiany jako MP3, ale zdolny działać jako loader HTA, który ostatecznie prowadził do uruchomienia Amatera Stealer. Amatera, znany też jako ACR lub AcridRain Stealer, to złodziej haseł i innych danych dla Windowsa, pojawiający się w kampaniach ClickFix, fałszywych weryfikacjach, złośliwych reklamach i wieloetapowych łańcuchach ładowania. 1824

Na obu systemach stawką jest więcej niż pojedyncze hasło. Programy wykradające dane mogą atakować zapisane w przeglądarce dane logowania, aktywne sesje, inne przechowywane informacje oraz dane portfeli kryptowalutowych. 418

Dlaczego przekierowania oparte na blockchainie mają znaczenie

Badacze powiązali PasteSwitch z infrastrukturą używającą inteligentnych kontraktów BNB Smart Chain jako mechanizmu przekazywania aktualnych adresów i instrukcji. Według ich ustaleń operacja zmieniała 36 domen między marcem a lipcem 2026 r. 21

Przypomina to szerszy wzorzec ClickFix, w którym przejęte strony pobierają instrukcje lub dane o trasie do ładunku z kontraktów BNB Smart Chain. Operatorzy mogą w ten sposób zmieniać instrukcje zapisane w łańcuchu bez modyfikowania każdej zainfekowanej strony. Dlatego obrońcy nie mogą polegać wyłącznie na blokowaniu pojedynczego adresu URL lub skrótu pliku. 33639

Czego nadal nie wiadomo

Kluczowe pytanie brzmi: w jaki sposób napastnicy przejęli konto HBO Max na Reddicie lub dostęp do jego reklam. Publicznie dostępne informacje nie rozstrzygają, czy przyczyną były wykradzione dane logowania, przejęty token sesji, słabe lub ominięte uwierzytelnianie wieloskładnikowe, dostęp strony trzeciej czy inna metoda. 1921

Nie ma też wiarygodnego publicznego bilansu liczby wyświetleń reklam, kliknięć, wykonanych poleceń, infekcji, strat finansowych ani liczby poszkodowanych. Samo zobaczenie reklamy nie oznaczało infekcji — użytkownik musiał jeszcze zastosować się do instrukcji i uruchomić polecenie. Nie ma również publicznych dowodów, że incydent dotknął systemów korporacyjnych, klienckich, produkcyjnych lub streamingowych Warner Bros. Discovery. 1921

Dlaczego sprawa wykracza poza HBO Max

ClickFix stał się szeroko stosowaną techniką socjotechniczną na Windowsie i macOS. Microsoft ostrzegał, że kampanie wykorzystują naturalny odruch szybkiego rozwiązywania drobnych problemów technicznych, w tym fałszywe CAPTCHA i komunikaty weryfikacyjne. W odrębnym badaniu zidentyfikowano ponad 5400 przejętych stron serwujących przynęty ClickFix z infrastrukturą ładunków opartą na blockchainie. 143

Najważniejsza zasada jest prosta: nie ufaj poleceniu tylko dlatego, że pojawia się po kliknięciu reklamy, na stronie przypominającej znaną markę albo za ekranem weryfikacji. Jeśli strona prosi o wklejenie tekstu do Terminala, okna Uruchamianie, PowerShella lub Windows Terminala, przerwij działanie. Zamknij stronę i szukaj oprogramowania lub instrukcji pomocy wyłącznie w oficjalnym serwisie producenta. 214