HBO Max Reddit 帳號被騎劫後，ClickFix 惡意廣告點樣令人「自己落毒」

一個睇落可信嘅官方認證帳號，足以令惡意廣告變得唔起眼。今次事件中，研究人員指攻擊者騎劫咗 Reddit 上已驗證嘅 u/hbomax 帳號，並用佢派發 ClickFix 廣告，誘導 Windows 同 macOS 用戶走向資料竊取惡意程式。不過，現有資料指向係該帳號及其廣告權限遭濫用，唔等於 HBO Max 或 Warner Bros. Discovery 嘅內部基建已被入侵。1921

事件發生咩事？

據報道引述嘅研究結果，遭入侵帳號喺大約 48 小時內投放咗 108 則惡意廣告。廣告會冒充 HBO Max、AI／開發工具同 macOS 工具；研究人員將整個行動歸入一個名為 PasteSwitch 嘅較大型攻擊行動。1921

事件最初由 Reddit 用戶發現，其後由 Hudson Rock、ADAMnetworks 等研究人員跟進分析。Reddit 表示已暫停受影響廣告，並由其 Security 及 Safety 團隊調查。2129

ClickFix 點樣運作？

ClickFix 唔需要利用瀏覽器漏洞；佢嘅關鍵係靠社交工程，令受害人親手執行指令：

1. 用戶撳入廣告，去到偽冒嘅串流、軟件或技術支援頁面。
2. 網頁彈出逼真嘅錯誤訊息、驗證步驟、假 CAPTCHA，或者聲稱要「修復」問題。
3. 頁面要求用戶複製一段指令，再貼去 macOS 嘅 Terminal，或者 Windows 嘅「執行」對話框、PowerShell 等指令介面。
4. 一按執行，就會啟動惡意程式嘅下載或載入鏈。21419

呢類手法之所以得手，係因為佢同時借用熟悉品牌、睇落已驗證嘅廣告，以及「解決一個小問題」嘅日常情境。受害人唔係見到一個明顯可疑嘅 .exe 檔先下載，而係自己授權咗個惡意動作。114

PasteSwitch 派送咗啲乜？

研究人員形容 PasteSwitch 並非一款固定惡意程式，而係一套可靈活切換嘅跨平台派送行動。佢嘅落地頁同指令可以辨識作業系統，按目標派發不同內容，亦可以隨時間更改跳轉目的地同惡意載荷。182127

macOS：MacSync、AMOS 相關元件與加密貨幣誘餌

macOS 分支據報會派送 MacSync，以及與 AMOS Helper 有關嘅竊密元件。Microsoft 亦曾記錄以假 macOS 工具、要求用戶喺 Terminal 貼指令嘅 ClickFix 活動，反映一段貼上去嘅指令足以喺 Mac 上啟動經混淆處理嘅載入器。1811

與 HBO Max 事件有關嘅研究亦提到，攻擊者用過冒充 Ledger、Trezor 同 Exodus 嘅加密錢包主題誘餌。行動亦涉及加密貨幣剪貼簿劫持：惡意程式可以監察用戶複製嘅錢包地址，並喺轉帳前將地址換成攻擊者控制嘅地址。2127

Windows：偽裝成 MP3 嘅載入器與 Amatera Stealer

Windows 攻擊鏈據報使用一個表面似 MP3、但同時可充當 HTA 載入器嘅多用途檔案，最終帶出 Amatera Stealer。Amatera 又叫 ACR 或 AcridRain Stealer，係一種 Windows 憑證及資料竊取程式，曾出現喺 ClickFix、假驗證、惡意廣告同多階段載入器活動之中。1824

無論用緊邊個系統，風險都唔止係單一密碼被偷：資料竊取程式可以瞄準瀏覽器儲存嘅登入資料、仍然有效嘅登入工作階段、已儲存資料同加密錢包資訊。418

點解用區塊鏈做路由值得留意？

研究人員將 PasteSwitch 連結到一套使用 BNB Smart Chain 智能合約作「死信箱式」路由嘅基建。報告指該行動喺 2026 年 3 月至 7 月期間輪換咗 36 個網域。21

呢個做法同其他 ClickFix 模式相似：被入侵網站會從 BNB Smart Chain 合約取得指令或者惡意載荷嘅路由資料。攻擊者可以更新鏈上指令，而毋須逐個改動所有被入侵網站；所以防守方單靠封鎖一個網址或一個檔案雜湊值，未必可以長久阻截攻擊。33639

目前仲有咩未解答？

最核心嘅未知之處，係攻擊者究竟點樣取得 HBO Max Reddit 帳號或廣告存取權。公開報道未能確定係憑證被偷、工作階段權杖被竊、多重驗證被繞過、第三方存取權遭濫用，定係其他途徑。1921

同時，暫時冇可靠公開統計說明廣告曝光量、點擊數、實際執行指令人數、感染個案、財務損失或受影響用戶數目。見到廣告本身唔代表一定中招——受害人仍要照住頁面指示貼上並執行指令。亦未有公開證據顯示事件波及 Warner Bros. Discovery 嘅企業、客戶、製作或串流系統。1921

呢單事件帶來嘅真正提醒

ClickFix 已成為橫跨 Windows 同 macOS 嘅常見社交工程手法。Microsoft 曾警告，攻擊者會利用人們急於解決小型技術問題嘅心態，例如假 CAPTCHA 同假驗證提示；另有研究發現，超過 5,400 個被入侵網站正提供附帶區塊鏈基建嘅 ClickFix 誘餌。143

最值得記住嘅原則好簡單：唔好因為指令出現喺廣告、熟悉品牌網站，或者「驗證」畫面後面，就當佢可信。 任何網站要求你將文字貼去 Terminal、「執行」、PowerShell 或 Windows Terminal，都應立即停手、關閉網頁；要下載軟件或尋找支援資訊，請直接由供應商官方網站開始。214