Conta da HBO Max no Reddit foi sequestrada para veicular anúncios maliciosos

Uma conta confiável pode fazer um anúncio malicioso parecer normal. Neste caso, pesquisadores afirmaram que invasores sequestraram a conta verificada u/hbomax no Reddit e a usaram para distribuir anúncios ClickFix, que conduziam visitantes de Windows e macOS a malwares voltados ao roubo de informações. O caso parece envolver o abuso da conta e de seu acesso a publicidade — e não comprova uma invasão da infraestrutura da HBO Max ou da Warner Bros. Discovery. 1921

O que aconteceu

Em aproximadamente 48 horas, a conta comprometida publicou 108 anúncios maliciosos, segundo pesquisadores citados nas reportagens sobre o caso. Os anúncios imitavam a HBO Max, ferramentas de IA e desenvolvimento e utilitários para macOS; a atividade foi associada a uma operação mais ampla, batizada de PasteSwitch. 1921

A campanha foi identificada por usuários do Reddit e investigada pela Hudson Rock e pela ADAMnetworks, com análises adicionais de outros pesquisadores. O Reddit informou que interrompeu temporariamente os anúncios afetados e que investigava o caso com suas equipes de Segurança e Integridade. 2129

Como funcionava a isca ClickFix

O ClickFix não precisa explorar uma falha no navegador. Em vez disso, ele convence a própria vítima a executar um comando:

1. A pessoa clica no anúncio e chega a uma página falsa de streaming, software ou suporte técnico.
2. A página mostra um erro convincente, uma verificação, um CAPTCHA falso ou instruções para corrigir um suposto problema.
3. Ela orienta o visitante a copiar e colar um comando no Terminal, no macOS, ou na caixa Executar, no PowerShell ou em outra interface de comandos do Windows.
4. Ao executar o comando, a vítima inicia a cadeia de malware dos atacantes. 21419

A abordagem é eficaz porque junta marcas conhecidas, publicidade aparentemente verificada e uma tarefa banal de solução de problemas. A ação maliciosa é autorizada pelo usuário, em vez de chegar como um download executável evidentemente suspeito ou por meio da exploração de uma vulnerabilidade de software. 114

O que a PasteSwitch instalava

Os pesquisadores descreveram a PasteSwitch como uma operação flexível de distribuição multiplataforma, e não como uma campanha com um único malware estático. As páginas de destino e os comandos podiam escolher conteúdo diferente conforme o sistema operacional e alterar destinos ou cargas maliciosas ao longo do tempo. 182127

macOS: MacSync, componentes ligados ao AMOS e iscas de criptomoedas

Segundo os relatos, a ramificação para macOS distribuía componentes ladrões de dados MacSync e AMOS Helper. A Microsoft também documentou campanhas ClickFix com utilitários falsos para macOS e instruções para o Terminal, mostrando como um comando colado pode iniciar um carregador ofuscado em um Mac. 1811

Pesquisadores ligados ao incidente da HBO Max também relataram iscas que imitavam carteiras e serviços como Ledger, Trezor e Exodus. A operação incluía comportamento de sequestro da área de transferência para criptomoedas: o malware pode monitorar um endereço de carteira copiado e substituí-lo por um endereço controlado pelos criminosos antes de uma transferência. 2127

Windows: carregador disfarçado de MP3 e Amatera Stealer

No Windows, a cadeia de distribuição teria usado um arquivo políglota apresentado como MP3, mas capaz de atuar como um carregador HTA, levando por fim ao Amatera Stealer. O Amatera — também chamado de ACR ou AcridRain Stealer — é um malware para Windows voltado ao roubo de credenciais e informações, já observado em campanhas ClickFix, falsas verificações, publicidade maliciosa e cadeias de carregadores em várias etapas. 1824

Em ambos os sistemas operacionais, o impacto potencial vai além de uma única senha: malwares ladrões de informações podem mirar credenciais salvas no navegador, sessões ativas, dados armazenados e informações de carteiras de criptomoedas. 418

Por que o roteamento apoiado em blockchain importa

Pesquisadores associaram a PasteSwitch a uma infraestrutura que usava contratos inteligentes da BNB Smart Chain como pontos de consulta para roteamento, em um modelo semelhante a um dead drop — um local intermediário usado para buscar instruções. A operação relatada alternou entre 36 domínios de março a julho de 2026. 21

O método se assemelha a um padrão mais amplo de ClickFix, no qual sites comprometidos buscam instruções ou dados de roteamento de cargas maliciosas em contratos da BNB Smart Chain. Como os operadores podem alterar instruções registradas na blockchain sem modificar todos os sites comprometidos, bloquear apenas uma URL ou um hash de arquivo não é uma defesa suficiente. 33639

O que ainda não se sabe

A principal questão sem resposta é como os invasores obtiveram controle da conta da HBO Max no Reddit ou de seu acesso à plataforma de anúncios. Os relatos públicos não estabeleceram se a causa foi roubo de credenciais, furto de token de sessão, autenticação multifator fraca ou contornada, acesso de terceiros ou outra via. 1921

Também não há uma contagem pública confiável de impressões dos anúncios, cliques, execução de comandos, infecções, perdas financeiras ou usuários afetados. Ver um anúncio não bastava para ser infectado: a vítima ainda precisava seguir as instruções da página e executar o comando. Tampouco há evidência pública de que o incidente tenha alcançado sistemas corporativos, de clientes, de produção ou de streaming da Warner Bros. Discovery. 1921

Por que o caso vai além da HBO Max

O ClickFix se tornou uma técnica de engenharia social amplamente usada tanto no Windows quanto no macOS. A Microsoft alertou que essas campanhas exploram o impulso das pessoas de resolver pequenos problemas técnicos, com CAPTCHAs e telas de verificação falsos; uma apuração separada identificou mais de 5.400 sites comprometidos servindo iscas ClickFix com infraestrutura de distribuição baseada em blockchain. 143

A lição duradoura é não confiar em um comando só porque ele aparece após um anúncio, em um site visualmente familiar ou atrás de uma tela de verificação. Pare se qualquer página pedir que você cole texto no Terminal, na caixa Executar, no PowerShell ou no Windows Terminal. Feche a página e busque software ou instruções de suporte diretamente no site oficial do fornecedor. 214