Зламаний Reddit-акаунт HBO Max поширював ClickFix-малвер

Верифікований акаунт здатен надати шкідливій рекламі вигляду звичайного оголошення. У цьому випадку, за даними дослідників, зловмисники захопили Reddit-акаунт u/hbomax і використали його для поширення ClickFix-реклами, що спрямовувала користувачів Windows та macOS до викрадачів даних. Ідеться про зловживання обліковим записом та доступом до реклами, а не про підтверджений злам інфраструктури HBO Max або Warner Bros. Discovery. 1921

Що сталося

За приблизно 48 годин скомпрометований акаунт розмістив 108 шкідливих реклам, повідомляють дослідники, на яких посилаються медіа. Оголошення видавали себе за HBO Max, інструменти для ШІ та розробки, а також утиліти для macOS. Цю активність дослідники пов’язали з ширшою операцією під назвою PasteSwitch. 1921

Кампанію помітили користувачі Reddit, після чого її досліджували Hudson Rock і ADAMnetworks за участі інших фахівців. Reddit заявив, що тимчасово зупинив уражені оголошення та проводить розслідування разом із командами Security і Safety. 2129

Як спрацьовує приманка ClickFix

ClickFix не потребує експлойту в браузері: жертву переконують самостійно виконати команду.

1. Людина натискає на рекламу та потрапляє на фальшиву сторінку стримінгового сервісу, програми або «усунення несправностей».
2. Сайт показує правдоподібне повідомлення про помилку, перевірку, CAPTCHA або нібито необхідний крок для розв’язання проблеми.
3. Відвідувача просять скопіювати й вставити команду в Terminal на macOS або у вікно «Виконати», PowerShell чи інший командний інтерфейс у Windows.
4. Виконання команди запускає ланцюг завантаження шкідливого ПЗ. 21419

Метод дієвий, бо поєднує знайомий бренд, видимість перевіреної реклами та начебто буденну технічну дію. Ключову шкідливу дію санкціонує сам користувач: нападникам не обов’язково маскувати її під очевидне завантаження виконуваного файлу чи експлуатувати вразливість. 114

Що доставляв PasteSwitch

Дослідники описують PasteSwitch не як одну незмінну кампанію, а як гнучку кросплатформну операцію доставки шкідливого ПЗ. Її посадкові сторінки та команди могли обирати вміст залежно від операційної системи, а також з часом змінювати адреси призначення й корисне навантаження. 182127

macOS: MacSync, компоненти AMOS і криптоприманки

За повідомленнями, гілка для macOS доставляла компоненти викрадачів MacSync та AMOS Helper. Microsoft також документувала ClickFix-кампанії з підробленими утилітами для macOS та інструкціями для Terminal: вставлена команда могла запускати обфускований завантажувач на Mac. 1811

Дослідники, пов’язані з інцидентом HBO Max, також повідомили про приманки, що імітували криптогаманці Ledger, Trezor та Exodus. В операції застосовувалося перехоплення буфера обміну для криптовалют: шкідливе ПЗ може відстежити скопійовану адресу гаманця й підмінити її адресою нападників до здійснення переказу. 2127

Windows: завантажувач під виглядом MP3 і Amatera Stealer

У Windows-ланцюгу доставки нібито використовувався поліглотний файл, представлений як MP3, але здатний працювати як HTA-завантажувач. Зрештою він приводив до Amatera Stealer. Amatera, також відомий як ACR або AcridRain Stealer, — викрадач облікових даних та іншої інформації для Windows, який уже фігурував у ClickFix, фальшивих перевірках, шкідливій рекламі та багатоступеневих ланцюгах завантаження. 1824

Наслідки для обох ОС можуть не обмежуватися одним паролем: інфостілери здатні полювати на збережені в браузері облікові дані, активні сесії, локальні дані та інформацію криптогаманців. 418

Навіщо зловмисникам маршрутизація через блокчейн

Дослідники пов’язали PasteSwitch з інфраструктурою, яка використовувала смартконтракти BNB Smart Chain як своєрідні «мертві поштові скриньки» для маршрутизації. За наявними даними, операція змінила 36 доменів у період із березня до липня 2026 року. 21

Це нагадує ширший патерн ClickFix: скомпрометовані сайти отримують інструкції або дані про маршрут до корисного навантаження зі смартконтрактів BNB Smart Chain. Оператори можуть змінювати інструкції в блокчейні, не оновлюючи кожен зламаний сайт, тому захист не може обмежуватися блокуванням одного URL чи хешу файлу. 33639

Що досі невідомо

Головне відкрите питання — яким саме способом нападники отримали контроль над Reddit-акаунтом HBO Max або його рекламним доступом. Публічні повідомлення не встановили, чи причиною були викрадені облікові дані, токен сесії, слабка або обійдена багатофакторна автентифікація, доступ третьої сторони чи інший шлях. 1921

Також немає достовірної публічної статистики щодо показів реклами, переходів, виконання команд, заражень, фінансових втрат або числа постраждалих. Сам факт показу реклами не означав зараження: для цього користувач мав виконати інструкції сторінки та запустити команду. Немає і публічних доказів, що інцидент торкнувся корпоративних, клієнтських, виробничих або стримінгових систем Warner Bros. Discovery. 1921

Чому цей випадок важливий не лише для HBO Max

ClickFix став широко вживаною технікою соціальної інженерії і для Windows, і для macOS. Microsoft попереджала, що такі кампанії грають на прагненні людей швидко усунути дрібну технічну проблему — зокрема через фальшиві CAPTCHA та перевірки. Окреме дослідження виявило понад 5 400 скомпрометованих сайтів, які показували ClickFix-приманки з блокчейн-інфраструктурою для доставки навантаження. 143

Практичне правило тут просте: не довіряйте команді лише тому, що її показали в рекламі, на знайомому на вигляд сайті або після «перевірки». Якщо сторінка просить вставити текст у Terminal, «Виконати», PowerShell чи Windows Terminal — зупиніться й закрийте її. Завантажуйте програми та шукайте інструкції підтримки лише безпосередньо на офіційному сайті виробника. 214