Взломанный аккаунт HBO Max на Reddit использовали для распространения ClickFix

Верифицированный аккаунт способен сделать даже вредоносную рекламу похожей на обычное объявление. В этом случае, по данным исследователей, злоумышленники захватили Reddit-аккаунт u/hbomax и использовали его для распространения объявлений ClickFix, которые вели пользователей Windows и macOS к крадущему данные вредоносному ПО. Имеющиеся данные указывают на злоупотребление аккаунтом и доступом к рекламе, а не на подтверждённый взлом инфраструктуры HBO Max или Warner Bros. Discovery. 1921

Что произошло

За примерно 48 часов через скомпрометированный аккаунт было запущено 108 вредоносных рекламных объявлений, сообщили исследователи. Приманки выдавали себя за HBO Max, инструменты для разработчиков и ИИ, а также утилиты для macOS; активность связали с более широкой операцией под названием PasteSwitch. 1921

На кампанию сначала обратили внимание пользователи Reddit, после чего её изучили Hudson Rock и ADAMnetworks при участии других исследователей. Reddit сообщил, что временно остановил затронутые объявления и проводит расследование с командами Security и Safety. 2129

Как работала приманка ClickFix

ClickFix не требует уязвимости браузера. Его суть в том, чтобы убедить человека самостоятельно запустить команду:

1. Пользователь нажимает на рекламу и попадает на поддельную страницу стримингового сервиса, программы или «технической помощи».
2. Страница показывает правдоподобную ошибку, проверку, фальшивую CAPTCHA либо инструкцию по устранению несуществующей проблемы.
3. Посетителю предлагают скопировать и вставить команду в Terminal на macOS или в окно «Выполнить», PowerShell либо другой командный интерфейс Windows.
4. Выполнение команды запускает цепочку установки вредоносного ПО. 21419

Приём работает за счёт сочетания знакомого бренда, видимости верифицированной рекламы и привычного сценария «исправления ошибки». Ключевое действие выполняет сам пользователь: ему не предлагают очевидный подозрительный файл и не эксплуатируют программную уязвимость. 114

Что доставляла операция PasteSwitch

Исследователи описывают PasteSwitch не как одну неизменную кампанию, а как гибкую кроссплатформенную схему доставки. Её страницы и команды могли подбирать контент по операционной системе и со временем менять конечные адреса либо полезную нагрузку. 182127

macOS: MacSync, компоненты AMOS и криптовалютные приманки

Для macOS, как сообщалось, доставлялись компоненты стилеров MacSync и AMOS Helper. Microsoft также документировала ClickFix-кампании с фальшивыми утилитами macOS и инструкциями для Terminal: вставленная команда запускала обфусцированный загрузчик на Mac. 1811

Исследователи, изучавшие инцидент с HBO Max, также сообщили о приманках под криптокошельки Ledger, Trezor и Exodus. В операции использовался перехват буфера обмена: вредоносная программа может отслеживать скопированный адрес криптокошелька и подменять его адресом злоумышленников перед переводом. 2127

Windows: загрузчик под видом MP3 и Amatera Stealer

В Windows-цепочке применялся полиглотный файл, выглядевший как MP3, но способный работать как HTA-загрузчик; в итоге он приводил к установке Amatera Stealer. Amatera, также известный как ACR или AcridRain Stealer, — стилер учётных данных и другой информации для Windows, встречавшийся в ClickFix, фальшивых проверках, вредоносной рекламе и многоэтапных цепочках загрузчиков. 1824

На обеих платформах последствия могут не ограничиваться одним паролем: стилеры способны похищать учётные данные браузера, активные сессии, сохранённые данные и сведения о криптокошельках. 418

Зачем злоумышленникам маршрутизация через блокчейн

Исследователи связали PasteSwitch с инфраструктурой, использовавшей смарт-контракты BNB Smart Chain как своего рода «мёртвые почтовые ящики» для маршрутизации. По опубликованным данным, с марта по июль 2026 года операция сменила 36 доменов. 21

Это похоже на более широкий паттерн ClickFix, при котором скомпрометированные сайты получают инструкции или данные о маршруте к полезной нагрузке из контрактов BNB Smart Chain. Операторы могут менять такие инструкции, не обновляя каждый взломанный сайт, поэтому одной блокировки URL или хеша файла для защиты недостаточно. 33639

Что пока неизвестно

Главный открытый вопрос — каким образом атакующие получили контроль над Reddit-аккаунтом HBO Max или его рекламным доступом. В публичных материалах не установлено, были ли причиной украденные учётные данные, токен сессии, слабая или обойдённая многофакторная аутентификация, сторонний доступ или иной вектор. 1921

Также нет надёжных публичных данных о количестве показов и кликов, выполненных командах, заражениях, финансовом ущербе или числе пострадавших. Сам показ рекламы не означал заражение: для этого человек должен был выполнить инструкцию страницы и запустить команду. Нет и публичных свидетельств того, что инцидент затронул корпоративные, клиентские, производственные или стриминговые системы Warner Bros. Discovery. 1921

Почему это важно не только для HBO Max

ClickFix стал распространённой техникой социальной инженерии как для Windows, так и для macOS. Microsoft предупреждала, что такие кампании используют естественное желание быстро устранить мелкую техническую проблему — в том числе через фальшивые CAPTCHA и проверки. В отдельном исследовании было выявлено более 5 400 скомпрометированных сайтов, которые раздавали ClickFix-приманки с инфраструктурой полезной нагрузки на базе блокчейна. 143

Практический вывод прост: не доверяйте команде лишь потому, что она показана в рекламе, на знакомо оформленном сайте или после «проверки». Если страница просит вставить текст в Terminal, окно «Выполнить», PowerShell или Windows Terminal, закройте её. Программы и инструкции по поддержке следует получать только с официального сайта производителя. 214