HBO Max-konto på Reddit kapat för 108 skadliga annonser

Ett verifierat företagskonto kan få en skadlig annons att framstå som betydligt mer trovärdig än ett vanligt bedrägeriförsök. I september 2026 användes det kapade Reddit-kontot u/hbomax för att publicera 108 skadliga annonser under ungefär 48 timmar. Kampanjen, som forskare kallar PasteSwitch, riktades mot både macOS- och Windows-användare genom ClickFix-bedrägerier och skadeprogram som stjäl information. 35

Det viktiga förbehållet är att det inte offentligt har klarlagts hur angriparna fick åtkomst till HBO Max annonsidentitet på Reddit. Rapporteringen visar inte heller att HBO Max streamingtjänst, Warner Bros. Discoverys system eller andra företagskonton har utsatts för intrång. 3

Ett missbrukat annonskonto – inte ett bekräftat intrång i streamingtjänsten

Angriparna utnyttjade kontots verifierade status för att köra annonser som såg ut att komma från HBO Max. Forskarna identifierade fem lockbetesgrupper: 40 annonser som pekade mot hbomaxx[.]app, sex mot hbomax-macos[.]com, 36 mot den falska AI-/utvecklarsidan codex-craft[.]com, 15 mot en falsk guide för att rensa en Mac och 11 mot code-desktop[.]com. 3

Det visar att händelsen var större än en enskild kopia av en streamingtjänst. Det kapade kontot användes som kanal för skadlig annonsering i en bredare, plattformsöverskridande operation – inte enbart för att utge sig för att vara HBO Max. 35

Så lurade ClickFix användare att infektera sina egna datorer

ClickFix-kampanjer bygger inte främst på en vanlig nedladdningsruta för skadlig kod. I stället visar den falska webbplatsen ett påstått steg för nedladdning, verifiering eller felsökning och ber besökaren att kopiera och köra ett kommando.

I det här fallet utgav sig sajterna för att erbjuda en macOS-app för HBO Max, AI- och utvecklarverktyg, program för diskrensning och kodverktyg. Mac-användare instruerades att använda Terminal, medan Windows-användare hänvisades till exempelvis dialogrutan Kör eller PowerShell. 34

Kärnan i bedrägeriet var social manipulation, inte ett tekniskt tvång: offret gav själv det sista godkännandet genom att klistra in och köra kommandot. Det kan få en skadlig åtgärd att se ut som en normal installations- eller felsökningsinstruktion, trots att kommandot körs med operativsystemets egna verktyg. 35

En enkel säkerhetsregel är därför: en webbplats ska aldrig kräva att du klistrar in ett obekant kommando i Terminal, Kör, Kommandotolken eller PowerShell för att installera en app, ”verifiera” datorn, lösa ett fel eller hämta en nedladdning.

macOS: MacSync, AMOS och falska kryptoplånböcker

Forskarna uppgav att macOS-kedjorna använde kommandon som hämtade och körde skript, vilket ledde till skadeprogramsfamiljen MacSync. MacSync uppgavs kunna samla in bland annat webbläsaruppgifter, Firefox-profiler, Telegram-data, Apple Notes och macOS-lösenord. 35

Operationen använde också en AMOS helper-komponent. Enligt analysen skapade den uthållighet i en katalog vars namn liknade en macOS-systemkomponent och kunde registrera den infekterade enheten hos angriparnas infrastruktur för fortsatt styrning. 35

PasteSwitch omfattade även kryptorelaterade lockbeten: förfalskade appar för Ledger, Trezor Suite och Exodus som var avsedda att fånga upp återställningsfraser till kryptoplånböcker. En sådan fras kan ge åtkomst till en plånbok. Plånboksprogram bör därför enbart hämtas från leverantörens officiella webbplats eller en verifierad appbutik. 3

Windows: Amatera Stealer kördes i minnet

På Windows använde den rapporterade PasteSwitch-aktiviteten körvägar baserade på mshta och PowerShell. I en observerad kedja användes en polyglot-fil, en schemalagd aktivitet skapades och Amatera Stealer laddades till slut i minnet med maskerad PowerShell-kod och shellcode. 35

Enligt forskarna kunde Amatera identifiera egenskaper hos datorn, ta skärmbilder, stjäla webbläsaruppgifter, kartlägga processer och nätverksinformation, kommunicera med angriparnas infrastruktur och möjliggöra leverans av ytterligare skadlig kod. Att ladda skadlig kod i minnet kan minska mängden tydliga spår på hårddisken, men gör inte intrånget ofarligt eller osynligt för säkerhetsskydd på enheten. 35

Urklippskapning hotade kryptotransaktioner

Kampanjen kopplades också till AnimateClipper och ZigClipper – uthålliga program som kapar urklippet och byter ut en kopierad kryptoadress mot en adress som kontrolleras av angriparen. Om användaren inte kontrollerar den inklistrade adressen kan en överföring hamna i fel plånbok. 45

Forskarna rapporterade vidare att dessa program kunde hämta växlande information om kommando- och kontrollservrar från smarta kontrakt på Binance Smart Chain. Kontraktsdata kan där fungera som en slags ”dead drop”, vilket minskar beroendet av ett enda fast domännamn för styrningen. 45

Vid kryptotransaktioner bör du alltid kontrollera hela mottagaradressen på bekräftelseskärmen – eller åtminstone flera tecken i både början och slutet – särskilt när adressen har kopierats och klistrats in.

Reddits åtgärder och det som fortfarande är oklart

När annonserna rapporterades uppges en Reddit-administratör ha pausat eller stängt av dem och eskalerat ärendet till Reddits team för säkerhet och trygghet. 34

Den mest betydelsefulla obesvarade frågan är hur u/hbomax komprometterades. Den första rapporteringen fastställde inte om åtkomsten kom från stulna inloggningsuppgifter, ett intrång i annonsflödet, en intern väg eller någon annan metod. 3

Det finns inte heller någon offentlig bekräftelse på hur många som körde kommandona, vilka uppgifter som stals eller om stulna inloggningsuppgifter senare användes i andra attacker. Tillgänglig rapportering visar på samma sätt inte att angriparna fick åtkomst till HBO Max plattform eller Warner Bros. Discoverys bredare infrastruktur. 3

Det här bör användare och organisationer ta med sig

Händelsen visar att en verifieringsmarkering och ett välkänt varumärke inte gör en annons säker. Var särskilt misstänksam mot oväntade annonser för datorappar, i synnerhet appar som normalt inte erbjuds för den aktuella plattformen.

Om du redan har kört ett kommando från någon av de aktuella sidorna bör du, om möjligt, koppla bort enheten från nätverket, kontakta IT-avdelning eller incidenthantering, byta viktiga lösenord från en känd ren enhet, återkalla aktiva sessioner och granska aktivitet i kryptokonton och plånböcker. Organisationer bör skydda annons- och sociala medier-konton med nätfiskeresistent multifaktorautentisering, minsta möjliga behörigheter och noggrann övervakning av nya annonskampanjer.