HBO Max Reddit 账号遭劫持：108 条恶意广告如何用 ClickFix 诱骗 Mac 与 Windows 用户

一个可信账号，足以让恶意广告看起来像是普通推广。研究人员表示，攻击者劫持了已认证的 Reddit 账号 u/hbomax，并借此投放 ClickFix 恶意广告，将 Windows 和 macOS 用户引向信息窃取型恶意软件。现有信息表明，这是对该账号及其广告权限的滥用，并不等于 HBO Max 或华纳兄弟探索公司（Warner Bros. Discovery）的基础设施已被攻破。1921

发生了什么

据参与调查的研究人员介绍，遭入侵账号在约 48 小时内投放了 108 条恶意广告。这些广告仿冒 HBO Max、AI／开发工具和 macOS 实用工具；研究人员将其关联至一项更大范围的行动，命名为 PasteSwitch。1921

此次活动先由 Reddit 用户发现，随后由 Hudson Rock 和 ADAMnetworks 展开调查，其他研究人员也参与了分析。Reddit 表示，已暂时叫停受影响的广告，并正由其安全与平台治理团队调查此事。2129

ClickFix 是怎样让用户“自己安装”恶意软件的

ClickFix 不依赖浏览器漏洞，而是诱导受害者亲手执行攻击者提供的命令：

1. 用户点击广告，进入仿冒的流媒体、软件或故障排除页面；
2. 页面展示看似可信的报错、验证步骤、假验证码或“修复问题”的说明；
3. 页面要求用户复制一段命令，并粘贴到 macOS 的终端，或 Windows 的“运行”对话框、PowerShell 等命令界面；
4. 一旦执行，该命令就会启动恶意软件投递链。21419

这种手法之所以奏效，是因为它把熟悉的品牌、看起来经过认证的广告位，以及日常“排障”任务拼在了一起。恶意操作并非以显眼的可执行文件下载或漏洞利用形式出现，而是由用户自行授权完成。114

PasteSwitch 投递了什么

研究人员将 PasteSwitch 描述为一项灵活的跨平台投递行动，而不是单一、固定的恶意软件活动。其落地页和命令可按操作系统返回不同内容，也能随时间更换跳转目标或载荷。182127

macOS：MacSync、与 AMOS 相关的组件，以及加密货币诱饵

报道称，macOS 分支会投递 MacSync 以及与 AMOS Helper 相关的窃密组件。微软此前也记录过利用假 macOS 工具和“在终端粘贴命令”进行的 ClickFix 攻击，说明一条粘贴执行的命令就能在 Mac 上启动经过混淆的加载器。1811

与 HBO Max 事件相关的研究人员还发现了仿冒 Ledger、Trezor 和 Exodus 的加密钱包主题诱饵。该行动还具备加密货币剪贴板劫持能力：恶意软件可监视用户复制的钱包地址，并在转账前将其替换为攻击者控制的地址。2127

Windows：伪装成 MP3 的加载器与 Amatera Stealer

Windows 投递链据报使用了一种多格式文件：它表面看似 MP3，实际却能作为 HTA 加载器运行，最终投递 Amatera Stealer。Amatera 也被称为 ACR 或 AcridRain Stealer，是一款 Windows 凭据与信息窃取程序，曾出现在 ClickFix、假验证、恶意广告和多阶段加载器攻击中。1824

无论使用哪种操作系统，风险都不止于一个密码。信息窃取程序可能瞄准浏览器保存的凭据、已登录会话、存储的数据以及加密钱包信息。418

为什么“上链”路由值得警惕

研究人员将 PasteSwitch 与一种利用 BNB Smart Chain 智能合约充当“死信箱式”路由的基础设施联系起来。据报，该行动在 2026 年 3 月至 7 月间轮换使用了 36 个域名。21

这与更广泛的 ClickFix 趋势相似：被攻陷的网站可从 BNB Smart Chain 合约获取指令或载荷路由信息。攻击者能够在不逐一修改每个被入侵网站的情况下更新链上指令，因此防守方不能只靠封禁一个 URL 或一个文件哈希来应对。33639

仍未解开的关键问题

最核心的未知点，是攻击者究竟如何取得 HBO Max Reddit 账号或其广告访问权限。公开报道尚未确认这是盗取凭据、盗取会话令牌、多因素认证薄弱或被绕过、第三方访问权限被滥用，还是其他途径所致。1921

此外，公开资料没有提供可靠的广告展示量、点击量、命令执行次数、感染数量、资金损失或受影响用户规模。看见广告本身并不意味着已感染；受害者还必须按照页面指示运行命令。也没有公开证据显示，该事件已波及华纳兄弟探索公司的企业、客户、制作或流媒体系统。1921

这起事件为何不只关乎 HBO Max

ClickFix 已成为同时针对 Windows 与 macOS 的常见社会工程学手法。微软警告称，攻击活动会利用人们急于解决小问题的心理，包括伪造验证码和验证提示；另有报告发现，超过 5,400 个被攻陷网站正在提供采用区块链基础设施的 ClickFix 诱饵。143

最重要的结论是：不要因为一段命令出现在广告、眼熟的网站，或所谓验证提示之后，就相信它是安全的。只要页面要求你向终端、“运行”、PowerShell 或 Windows 终端粘贴内容，就应立即停止操作、关闭页面，并仅从厂商官方网站获取软件或支持说明。214