Kapat HBO Max-konto på Reddit drev kampanj som lurade användare att installera skadlig kod

Ett verifierat konto kan få en skadlig annons att se vardaglig ut. I det här fallet uppger säkerhetsforskare att angripare kapade det verifierade Reddit-kontot u/hbomax och använde det för att sprida ClickFix-annonser. De styrde Windows- och macOS-användare mot informationsstjälande skadlig kod. Det handlar enligt tillgänglig rapportering om missbruk av kontot och dess annonsåtkomst – inte om ett bekräftat intrång i HBO Max eller Warner Bros. Discoverys infrastruktur. 1921

Detta hände

Under ungefär 48 timmar körde det komprometterade kontot 108 skadliga annonser, enligt de forskare som citeras i rapporteringen. Annonserna utgav sig för att komma från HBO Max, AI- och utvecklarverktyg samt macOS-verktyg. Forskarna kopplade aktiviteten till en större operation som de kallar PasteSwitch. 1921

Kampanjen uppmärksammades först av Reddit-användare och analyserades sedan av Hudson Rock och ADAMnetworks, med bidrag från andra forskare. Reddit uppgav att bolaget tillfälligt stoppat de berörda annonserna och utredde händelsen genom sina säkerhets- och trygghetsteam. 2129

Så fungerade ClickFix-fällan

ClickFix kräver inget tekniskt angrepp mot webbläsaren. I stället luras personen framför datorn att själv köra ett kommando:

1. Personen klickar på en annons och hamnar på en förfalskad sida för streaming, programvara eller felsökning.
2. Sidan visar ett trovärdigt felmeddelande, en verifieringskontroll, en falsk CAPTCHA eller instruktioner för att åtgärda ett påstått problem.
3. Besökaren uppmanas att kopiera och klistra in ett kommando i Terminal i macOS eller i Kör, PowerShell eller ett annat kommandogränssnitt i Windows.
4. När kommandot körs startar kedjan som hämtar eller aktiverar angriparnas skadliga kod. 21419

Metoden fungerar eftersom den kombinerar välkända varumärken, till synes verifierad annonsering och en banal felsökningsuppgift. Det är användaren som godkänner den skadliga åtgärden, snarare än att attacken bygger på en uppenbar körbar nedladdning eller en sårbarhet i programvara. 114

Vad PasteSwitch levererade

Forskarna beskriver PasteSwitch som en flexibel operation för leverans av skadlig kod till flera plattformar, snarare än en enda oföränderlig kampanj. Landningssidorna och kommandona kunde välja innehåll beroende på operativsystem och byta destinationer eller nyttolaster över tid. 182127

macOS: MacSync, AMOS-relaterade komponenter och kryptofällor

macOS-grenen rapporteras ha levererat MacSync och komponenter kopplade till AMOS Helper, båda avsedda för informationsstöld. Microsoft har också dokumenterat ClickFix-kampanjer med falska macOS-verktyg och instruktioner i Terminal, vilket visar hur ett inklistrat kommando kan starta en maskerad laddare på en Mac. 1811

Forskarna bakom analysen av HBO Max-incidenten rapporterade även plånboksrelaterade lockbeten som utgav sig för att vara Ledger, Trezor och Exodus. Operationen innehöll beteende för kapning av kryptovalutaadresser i urklippet: skadlig kod kan övervaka en kopierad plånboksadress och ersätta den med en adress som kontrolleras av angriparen före en överföring. 2127

Windows: en MP3-maskerad laddare och Amatera Stealer

Windows-kedjan ska ha använt en polyglotfil som presenterades som en MP3-fil men kunde fungera som en HTA-laddare. Den ledde till slut till Amatera Stealer. Amatera, även kallad ACR eller AcridRain Stealer, är ett program för stöld av inloggningsuppgifter och annan information i Windows, och har förekommit i ClickFix-, falska verifierings-, malvertising- och flerstegsattacker. 1824

På båda operativsystemen kan följderna bli större än att ett enskilt lösenord läcker. Informationsstjälare kan rikta in sig på sparade webbläsaruppgifter, aktiva inloggade sessioner, lagrad data och uppgifter från kryptoplånböcker. 418

Varför blockkedjebaserad dirigering spelar roll

Forskarna kopplade PasteSwitch till infrastruktur som använde smarta kontrakt i BNB Smart Chain som så kallade dead drops för dirigering. Den rapporterade operationen växlade mellan 36 domäner från mars till juli 2026. 21

Det liknar ett bredare ClickFix-mönster där komprometterade webbplatser hämtar instruktioner eller uppgifter om var nyttolasten ska hämtas från kontrakt i BNB Smart Chain. Eftersom operatörerna kan ändra instruktioner i blockkedjan utan att uppdatera varje komprometterad webbplats kan försvarare inte enbart förlita sig på att blockera en enskild webbadress eller filhash. 33639

Det vi fortfarande inte vet

Den stora obesvarade frågan är hur angriparna fick kontroll över HBO Max Reddit-konto eller dess annonsåtkomst. Offentlig rapportering har inte fastslagit om orsaken var stulna inloggningsuppgifter, en stulen sessionsnyckel, svag eller kringgången multifaktorautentisering, åtkomst via tredje part eller något annat. 1921

Det finns inte heller någon tillförlitlig offentlig redovisning av antal annonsvisningar, klick, körda kommandon, infektioner, ekonomiska förluster eller berörda användare. Att bara ha sett annonsen räckte inte för att infekteras: personen behövde följa sidans instruktioner och köra kommandot. Det finns inte heller några offentliga belägg för att händelsen nådde Warner Bros. Discoverys företags-, kund-, produktions- eller streamingsystem. 1921

Därför berör fallet fler än HBO Max

ClickFix har blivit en brett använd social ingenjörskonst-teknik för både Windows och macOS. Microsoft har varnat för kampanjer som utnyttjar människors reflex att lösa små tekniska problem, bland annat med falska CAPTCHA- och verifieringsrutor. I separat rapportering identifierades fler än 5 400 komprometterade webbplatser som visade ClickFix-fällor med blockkedjebaserad infrastruktur för nyttolaster. 143

Den viktigaste lärdomen är att inte lita på ett kommando bara för att det visas efter en annons, på en välbekant webbplats eller bakom en verifieringsruta. Avbryt om en sida ber dig klistra in text i Terminal, Kör, PowerShell eller Windows Terminal. Stäng sidan och hämta i stället programvara eller supportinstruktioner direkt från leverantörens officiella webbplats. 214