บัญชี Reddit ของ HBO Max ถูกยึด ใช้โฆษณา ClickFix หลอกผู้ใช้ Mac และ Windows ติดมัลแวร์

บัญชีที่ผู้ใช้ไว้วางใจทำให้โฆษณาอันตรายดูเหมือนเรื่องปกติได้ง่าย กรณีนี้ นักวิจัยระบุว่าผู้โจมตียึดบัญชี Reddit ที่ยืนยันตัวตนแล้ว u/hbomax และนำไปเผยแพร่โฆษณาแบบ ClickFix ซึ่งพาผู้ใช้ Windows และ macOS ไปสู่มัลแวร์ขโมยข้อมูล เหตุการณ์นี้ดูเป็นการนำบัญชีและสิทธิ์โฆษณาไปใช้ในทางมิชอบ ไม่ใช่หลักฐานว่าระบบโครงสร้างพื้นฐานของ HBO Max หรือ Warner Bros. Discovery ถูกเจาะ 1921

เกิดอะไรขึ้น

ตลอดเวลาราว 48 ชั่วโมง บัญชีที่ถูกยึดได้ลงโฆษณาอันตราย 108 รายการ ตามข้อมูลจากนักวิจัยที่รายงานข่าวอ้างถึง โฆษณาปลอมตัวเป็น HBO Max รวมถึงเครื่องมือ AI/นักพัฒนา และยูทิลิตีสำหรับ macOS โดยนักวิจัยเชื่อมโยงกิจกรรมนี้กับปฏิบัติการในวงกว้างที่เรียกว่า PasteSwitch 1921

ผู้ใช้ Reddit เป็นกลุ่มแรก ๆ ที่พบแคมเปญนี้ ก่อนที่ Hudson Rock และ ADAMnetworks จะตรวจสอบ โดยมีนักวิจัยรายอื่นร่วมวิเคราะห์ Reddit ระบุว่าได้ระงับโฆษณาที่ได้รับผลกระทบเป็นการชั่วคราว และกำลังสืบสวนร่วมกับทีม Security และ Safety 2129

กับดัก ClickFix ทำงานอย่างไร

ClickFix ไม่จำเป็นต้องอาศัยช่องโหว่ของเบราว์เซอร์ แต่หลอกให้เหยื่อรันคำสั่งด้วยตัวเอง โดยมีลำดับทั่วไปดังนี้

1. ผู้ใช้คลิกโฆษณา แล้วไปถึงหน้าเว็บสตรีมมิง ซอฟต์แวร์ หรือหน้าช่วยแก้ปัญหาที่ปลอมขึ้นมา
2. หน้าเว็บแสดงข้อความผิดพลาดที่ดูน่าเชื่อถือ หน้ายืนยันตัวตน CAPTCHA ปลอม หรือคำแนะนำให้แก้ปัญหาบางอย่าง
3. เหยื่อถูกบอกให้คัดลอกและวางคำสั่งลงใน Terminal ของ macOS หรือกล่อง Run, PowerShell หรือหน้าต่างคำสั่งอื่นบน Windows
4. เมื่อรันคำสั่ง ห่วงโซ่การติดมัลแวร์ของผู้โจมตีก็เริ่มทำงาน 21419

วิธีนี้ได้ผลเพราะผสมความน่าเชื่อถือของแบรนด์คุ้นตา โฆษณาที่ดูมาจากบัญชีที่ยืนยันแล้ว และงานแก้ปัญหาทางเทคนิคที่ดูไม่อันตราย จุดสำคัญคือเหยื่อเป็นผู้อนุญาตให้คำสั่งอันตรายทำงานเอง แทนที่จะดาวน์โหลดไฟล์ .exe ที่น่าสงสัยอย่างชัดเจนหรือถูกโจมตีผ่านช่องโหว่ซอฟต์แวร์ 114

PasteSwitch ส่งมัลแวร์อะไรบ้าง

นักวิจัยอธิบาย PasteSwitch ว่าเป็นปฏิบัติการส่งมัลแวร์แบบยืดหยุ่นข้ามแพลตฟอร์ม ไม่ใช่แคมเปญที่ใช้มัลแวร์ตัวเดียวตายตัว หน้าเว็บและคำสั่งสามารถเลือกเนื้อหาตามระบบปฏิบัติการของเหยื่อ และเปลี่ยนปลายทางหรือเพย์โหลดได้ตามเวลา 182127

ฝั่ง macOS: MacSync, ส่วนประกอบที่เกี่ยวข้องกับ AMOS และเหยื่อล่อคริปโต

มีรายงานว่าสายการโจมตีบน macOS ส่งคอมโพเนนต์ขโมยข้อมูล MacSync และ AMOS Helper ที่เกี่ยวข้องกับ AMOS มาให้เหยื่อ แคมเปญ ClickFix ที่ใช้ยูทิลิตี macOS ปลอมและคำสั่งสำหรับ Terminal เคยถูก Microsoft บันทึกไว้เช่นกัน ซึ่งแสดงให้เห็นว่าคำสั่งที่ผู้ใช้วางเองสามารถเปิดตัวโหลดเดอร์ที่ถูกทำให้อ่านยากบน Mac ได้ 1811

นักวิจัยที่เชื่อมโยงกับเหตุการณ์ HBO Max ยังพบเหยื่อล่อเกี่ยวกับกระเป๋าคริปโตที่ปลอมเป็น Ledger, Trezor และ Exodus ปฏิบัติการนี้มีพฤติกรรมจี้คลิปบอร์ดสำหรับคริปโตเคอร์เรนซี กล่าวคือมัลแวร์อาจเฝ้าดูที่อยู่กระเป๋าที่ผู้ใช้คัดลอก แล้วแทนที่ด้วยที่อยู่ที่ผู้โจมตีควบคุมก่อนมีการโอนเงิน 2127

ฝั่ง Windows: ไฟล์ที่ดูเหมือน MP3 แต่เป็นตัวโหลด และ Amatera Stealer

สายการโจมตีบน Windows มีรายงานว่าใช้ไฟล์ polyglot ที่แสดงตัวเป็น MP3 แต่สามารถทำหน้าที่เป็นตัวโหลด HTA ก่อนนำไปสู่ Amatera Stealer ในที่สุด Amatera หรือที่เรียกอีกชื่อว่า ACR หรือ AcridRain Stealer เป็นมัลแวร์ Windows สำหรับขโมยข้อมูลและข้อมูลรับรอง ซึ่งพบในแคมเปญ ClickFix หน้ายืนยันตัวตนปลอม โฆษณาอันตราย และห่วงโซ่ตัวโหลดหลายขั้นตอน 1824

ไม่ว่าจะเป็นระบบใด ผลกระทบอาจรุนแรงกว่าการรั่วไหลของรหัสผ่านหนึ่งบัญชี มัลแวร์ขโมยข้อมูลสามารถเล็งข้อมูลล็อกอินในเบราว์เซอร์ เซสชันที่ยังใช้งานอยู่ ข้อมูลที่บันทึกไว้ และข้อมูลกระเป๋าคริปโตได้ 418

เหตุใดการเปลี่ยนเส้นทางผ่านบล็อกเชนจึงน่ากังวล

นักวิจัยเชื่อมโยง PasteSwitch กับโครงสร้างพื้นฐานที่ใช้สมาร์ตคอนแทรกต์บน BNB Smart Chain เป็นจุดพักข้อมูลสำหรับบอกเส้นทาง โดยปฏิบัติการที่รายงานมีการสลับใช้โดเมน 36 แห่งระหว่างเดือนมีนาคมถึงกรกฎาคม 2026 21

รูปแบบนี้คล้ายแนวโน้ม ClickFix ที่กว้างขึ้น ซึ่งเว็บไซต์ที่ถูกเจาะดึงคำสั่งหรือข้อมูลเส้นทางเพย์โหลดจากคอนแทรกต์บน BNB Smart Chain เพราะผู้ปฏิบัติการสามารถปรับคำสั่งบนเชนได้โดยไม่ต้องแก้ทุกเว็บไซต์ที่ถูกเจาะ ผู้ป้องกันจึงไม่อาจพึ่งการบล็อกเพียง URL หรือค่าแฮชของไฟล์เดียวได้ 33639

สิ่งที่ยังไม่รู้

คำถามสำคัญที่สุดคือผู้โจมตีเข้าควบคุมบัญชี Reddit หรือสิทธิ์โฆษณาของ HBO Max ได้อย่างไร รายงานสาธารณะยังไม่ยืนยันว่าเกิดจากการขโมยข้อมูลล็อกอิน โทเค็นเซสชันถูกขโมย การยืนยันตัวตนหลายปัจจัยที่อ่อนแอหรือถูกข้าม สิทธิ์จากบุคคลที่สาม หรือช่องทางอื่น 1921

นอกจากนี้ ยังไม่มีตัวเลขสาธารณะที่น่าเชื่อถือเกี่ยวกับจำนวนการเห็นโฆษณา การคลิก การรันคำสั่ง การติดมัลแวร์ ความเสียหายทางการเงิน หรือจำนวนผู้ได้รับผลกระทบ การเห็นโฆษณาไม่ได้หมายความว่าติดมัลแวร์ทันที เพราะเหยื่อต้องทำตามคำสั่งและรันคำสั่งนั้นด้วยตัวเอง อีกทั้งยังไม่มีหลักฐานสาธารณะว่าเหตุการณ์ลุกลามไปยังระบบองค์กร ระบบลูกค้า ระบบผลิตคอนเทนต์ หรือระบบสตรีมมิงของ Warner Bros. Discovery 1921

บทเรียนที่ไกลกว่า HBO Max

ClickFix กำลังกลายเป็นเทคนิควิศวกรรมสังคมที่ถูกใช้แพร่หลายทั้งบน Windows และ macOS Microsoft เตือนว่าแคมเปญลักษณะนี้ฉวยโอกาสจากความเคยชินของผู้คนที่ต้องการแก้ปัญหาทางเทคนิคเล็กน้อย เช่น CAPTCHA ปลอมหรือหน้าตรวจสอบยืนยัน ขณะที่การรายงานอีกชุดหนึ่งพบเว็บไซต์ที่ถูกเจาะมากกว่า 5,400 แห่ง ซึ่งใช้เหยื่อล่อ ClickFix พร้อมโครงสร้างพื้นฐานเพย์โหลดที่อาศัยบล็อกเชน 143

ข้อควรจำที่ใช้ได้เสมอคือ อย่าเชื่อคำสั่งเพียงเพราะมันปรากฏหลังโฆษณา อยู่บนเว็บไซต์ที่ดูคุ้นเคย หรืออยู่หลังหน้าตรวจสอบยืนยัน หากหน้าใดขอให้วางข้อความลงใน Terminal, Run, PowerShell หรือ Windows Terminal ให้หยุดและปิดหน้านั้นทันที จากนั้นเข้าเว็บไซต์ทางการของผู้ให้บริการโดยตรงเพื่อดาวน์โหลดซอฟต์แวร์หรือขอคำแนะนำด้านการสนับสนุน 214