Ele Geçirilen HBO Max Reddit Hesabı ClickFix Zararlı Yazılım Reklamlarında Kullanıldı

Güvenilir görünen bir hesap, kötü amaçlı bir reklamı sıradan gösterebilir. Araştırmacılara göre saldırganlar bu olayda doğrulanmış u/hbomax Reddit hesabını ele geçirerek Windows ve macOS kullanıcılarını bilgi hırsızı zararlı yazılımlara yönlendiren ClickFix reklamları yayımladı. Mevcut bulgular, HBO Max veya Warner Bros. Discovery altyapısına yönelik doğrulanmış bir sızıntıdan ziyade hesabın ve reklam erişiminin kötüye kullanıldığına işaret ediyor. 1921

Ne oldu?

Haberlere konuşan araştırmacılara göre ele geçirilen hesap, yaklaşık 48 saat içinde 108 kötü amaçlı reklam yayımladı. Reklamlar HBO Max’in yanı sıra yapay zekâ/geliştirici araçlarını ve macOS yardımcı programlarını taklit ediyordu. Araştırmacılar faaliyeti PasteSwitch adını verdikleri daha geniş kapsamlı bir operasyonla ilişkilendirdi. 1921

Kampanya önce Reddit kullanıcıları tarafından fark edildi; Hudson Rock ve ADAMnetworks araştırmayı inceledi, başka araştırmacılar da analize katkıda bulundu. Reddit, etkilenen reklamları geçici olarak durdurduğunu ve Güvenlik ile Emniyet ekipleriyle inceleme başlattığını açıkladı. 2129

ClickFix tuzağı nasıl işliyor?

ClickFix, tarayıcıdaki bir güvenlik açığını istismar etmek zorunda değil. Bunun yerine kullanıcıyı zararlı komutu kendi eliyle çalıştırmaya ikna ediyor:

1. Kullanıcı reklama tıklıyor ve sahte bir yayın, yazılım ya da destek sayfasına gidiyor.
2. Sayfada inandırıcı görünen bir hata, doğrulama isteği, sahte CAPTCHA veya sözde çözüm talimatı gösteriliyor.
3. Ziyaretçiden macOS’ta Terminale; Windows’ta ise Çalıştır penceresine, PowerShell’e veya başka bir komut arayüzüne bir komut kopyalayıp yapıştırması isteniyor.
4. Komut çalıştırıldığında saldırganın zararlı yazılım zinciri başlıyor. 21419

Bu yöntem; bilinen markaları, doğrulanmış gibi görünen reklamları ve gündelik bir teknik sorun çözme alışkanlığını aynı senaryoda buluşturduğu için etkili. Kullanıcı, şüpheli bir uygulamayı doğrudan indirmek ya da bir yazılım açığının hedefi olmak yerine, zararlı işlemi bizzat yetkilendirmiş oluyor. 114

PasteSwitch hangi zararlı yazılımları dağıttı?

Araştırmacılar PasteSwitch’i tek ve sabit bir zararlı yazılım kampanyası değil, esnek ve çapraz platformlu bir dağıtım operasyonu olarak tanımlıyor. Açılış sayfaları ve komutlar işletim sistemine göre farklı içerik seçebiliyor; hedef adresler ve yükler zaman içinde değiştirilebiliyor. 182127

macOS: MacSync, AMOS bağlantılı bileşenler ve kripto para tuzakları

macOS kolunun MacSync ile AMOS Helper bağlantılı bilgi hırsızı bileşenler dağıttığı bildirildi. Microsoft da sahte macOS yardımcı programları ve Terminal talimatları kullanan ClickFix kampanyalarını belgelemişti; bu örnekler, yapıştırılan bir komutun Mac’te gizlenmiş bir yükleyiciyi nasıl başlatabildiğini gösteriyor. 1811

HBO Max olayıyla ilişkilendirilen araştırmacılar ayrıca Ledger, Trezor ve Exodus taklidi cüzdan temalı tuzaklar bildirdi. Operasyonda kripto para panosu (clipboard) ele geçirme davranışı da vardı: Zararlı yazılım, kopyalanan cüzdan adresini izleyip transfer yapılmadan önce saldırgana ait bir adresle değiştirebilir. 2127

Windows: MP3 gibi görünen yükleyici ve Amatera Stealer

Windows tarafındaki zincirde, MP3 dosyası gibi sunulan ancak HTA yükleyicisi olarak çalışabilen bir poliglot dosyanın kullanıldığı; bunun sonunda Amatera Stealer’ın yüklendiği bildirildi. ACR veya AcridRain Stealer olarak da anılan Amatera, ClickFix, sahte doğrulama, kötü amaçlı reklam ve çok aşamalı yükleyici kampanyalarında görülen bir Windows kimlik bilgisi ve bilgi hırsızıdır. 1824

Her iki işletim sisteminde de risk tek bir parolayla sınırlı değil. Bilgi hırsızları; tarayıcıda kayıtlı parolaları, açık oturumları, saklanan verileri ve kripto cüzdan bilgilerini hedefleyebilir. 418

Blokzincir destekli yönlendirme neden önemli?

Araştırmacılar PasteSwitch’i, BNB Smart Chain akıllı sözleşmelerini “dead drop” benzeri yönlendirme noktaları olarak kullanan bir altyapıyla ilişkilendirdi. Bildirilen operasyonda Mart-Temmuz 2026 arasında 36 alan adı değiştirildi. 21

Bu yaklaşım, ele geçirilmiş sitelerin talimatları veya zararlı yük yönlendirme verilerini BNB Smart Chain sözleşmelerinden aldığı daha geniş bir ClickFix eğilimiyle örtüşüyor. Operatörler, her ele geçirilmiş siteyi güncellemeden zincir üzerindeki talimatları değiştirebildiğinden, savunma ekiplerinin yalnızca tek bir URL’yi veya dosya özetini engellemesi yeterli olmayabilir. 33639

Hâlâ bilinmeyenler

En temel soru, saldırganların HBO Max Reddit hesabına veya reklam erişimine nasıl ulaştığı. Kamuya açık haber ve araştırmalarda bunun çalınmış parolalardan, çalınmış oturum belirtecinden, zayıf ya da atlatılmış çok faktörlü kimlik doğrulamadan, üçüncü taraf erişiminden veya başka bir yöntemden kaynaklanıp kaynaklanmadığı belirlenmiş değil. 1921

Reklamların kaç gösterim aldığı, kaç kez tıklandığı, kaç komutun çalıştırıldığı, enfeksiyon sayısı, mali kayıplar veya etkilenen kullanıcı sayısı konusunda da güvenilir bir kamuya açık hesap bulunmuyor. Bir reklamı görmek tek başına enfeksiyon anlamına gelmiyordu; mağdurun sayfadaki talimatları izleyip komutu çalıştırması gerekiyordu. Olayın Warner Bros. Discovery’nin kurumsal, müşteri, yapım veya yayın sistemlerine ulaştığına dair de kamuya açık kanıt yok. 1921

Bu olay neden HBO Max’in ötesinde önemli?

ClickFix, Windows ve macOS’ta giderek yaygınlaşan bir sosyal mühendislik tekniğine dönüştü. Microsoft, sahte CAPTCHA ve doğrulama istemlerinin insanların küçük teknik sorunları çözme refleksini kullandığı konusunda uyarıyor. Ayrı bir araştırmada, blokzincir tabanlı yük altyapısıyla ClickFix tuzakları sunan 5.400’den fazla ele geçirilmiş web sitesi tespit edildi. 143

Kalıcı ders şu: Bir reklamın, tanıdık görünen bir sitenin veya doğrulama ekranının ardından gösterildi diye hiçbir komuta güvenmeyin. Bir sayfa sizden Terminal, Çalıştır, PowerShell ya da Windows Terminal’e metin yapıştırmanızı isterse durun. Sayfayı kapatın; yazılımı veya destek talimatlarını doğrudan ilgili şirketin resmî sitesinden alın. 214