答案已發布24 個來源
HBO Max 驗證 Reddit 帳號遭濫用，ClickFix 惡意廣告引導用戶親手執行竊資程式
研究人員指出，攻擊者利用 HBO Max 的驗證 Reddit 帳號，在約 48 小時內投放 108 則惡意廣告，將用戶帶往要求貼上指令的 ClickFix 網頁。 研究人員將這項跨平台投遞行動命名為 PasteSwitch；它會依作業系統切換酬載，並結合品牌冒充、竊資程式及可變動的區塊鏈路由。
發布者使用 GPT-5.6 Terra 編輯圖片由 GPT Image 2 生成
研究答案
重點整理
- 研究人員指出，攻擊者利用 HBO Max 的驗證 Reddit 帳號，在約 48 小時內投放 108 則惡意廣告，將用戶帶往要求貼上指令的 ClickFix 網頁。
- 研究人員將這項跨平台投遞行動命名為 PasteSwitch；它會依作業系統切換酬載，並結合品牌冒充、竊資程式及可變動的區塊鏈路由。
- 最重要的自保原則是：任何 CAPTCHA、串流頁面或軟體支援頁面若要求你把文字貼入 Terminal、PowerShell、Windows Terminal 或「執行」對話方塊，都應立即關閉。
AI 提示詞
openai.comCreate a landscape editorial hero image for this Studio Global article: How did hackers compromise HBO Max’s verified Reddit account to publish 108 malicious ads over 48 hours, how did the ClickFix social-enginee. Article summary: The verified `u/hbomax` Reddit account appears to have been taken over and used as a trusted advertising channel, not as evidence of a confirmed intrusion into HBO Max or Warner Bros. Discovery infrastructure. Researcher. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
一個受信任的帳號，足以讓惡意廣告看起來像再普通不過的官方宣傳。研究人員表示，攻擊者劫持了已驗證的 Reddit 帳號 u/hbomax，並藉此散布 ClickFix 廣告，將 Windows 與 macOS 用戶引向竊取資訊的惡意程式。現有證據指向 Reddit 帳號及其廣告存取權遭濫用，並不代表 HBO Max 或 Warner Bros. Discovery 的基礎設施已遭入侵。19
21
事件經過：官方驗證帳號成為惡意廣告入口
研究人員稱，這個遭入侵帳號在約 48 小時內投放了 108 則惡意廣告。廣告冒充 HBO Max、AI／開發工具及 macOS 工具程式，並被連結至一項更廣泛、被研究人員命名為 PasteSwitch 的行動。19
21
事件先由 Reddit 用戶發現，之後由 Hudson Rock 與 ADAMnetworks 展開調查，其他研究人員也參與分析。Reddit 表示，已暫停受影響的廣告，並由其安全與信任團隊調查事件。21
29
ClickFix 如何讓受害者「自己執行」惡意程式
ClickFix 不需要瀏覽器漏洞。它的核心是社交工程：讓使用者相信自己只是在排除一個小問題，實際上卻親手執行攻擊者準備的指令。
- 用戶點擊廣告，進入偽造的串流、軟體下載或疑難排解頁面。
- 網頁顯示看似可信的錯誤訊息、驗證程序、假 CAPTCHA，或要求修正問題的說明。
- 頁面指示用戶把一段指令貼到 macOS 的 Terminal，或 Windows 的「執行」對話方塊、PowerShell 等命令介面。
- 一旦執行，惡意軟體投遞鏈便會啟動。
2
14
19
這類手法之所以有效，是因為它同時借用了熟悉品牌、貌似已驗證的廣告來源，以及一般人處理技術問題時的習慣。惡意動作是由使用者自行授權，而不是透過顯眼的可執行檔下載或軟體漏洞完成。1
14
PasteSwitch 投遞了什麼？
研究人員將 PasteSwitch 描述為彈性高的跨平台投遞行動，而非單一固定的惡意程式活動。其登陸頁面和指令可依作業系統選擇不同內容，也能隨時間更換目的地或酬載。18
21
27
macOS：MacSync、AMOS 相關元件與加密錢包誘餌
報導指出，macOS 分支會投遞 MacSync 及與 AMOS Helper 相關的竊資程式元件。Microsoft 也曾記錄利用假 macOS 工具與 Terminal 指令的 ClickFix 活動，說明一段貼上後執行的指令，如何在 Mac 上啟動經混淆處理的載入器。18
11
與 HBO Max 事件相關的研究人員亦發現，攻擊者以 Ledger、Trezor 與 Exodus 等加密錢包品牌作為誘餌。該行動還包含加密貨幣剪貼簿劫持行為：惡意程式可監看使用者複製的錢包地址，並在轉帳前將其替換成攻擊者控制的地址。21
27
Windows：偽裝成 MP3 的載入器與 Amatera Stealer
Windows 投遞鏈據報使用一個表面看似 MP3、但可作為 HTA 載入器運作的複合檔案，最終導向 Amatera Stealer。Amatera 也被稱為 ACR 或 AcridRain Stealer，是一種 Windows 憑證與資訊竊取程式，曾出現在 ClickFix、假驗證、惡意廣告及多階段載入器活動中。18
24
不論使用哪一種作業系統，後果都可能不只是一組密碼外洩：竊資程式可瞄準瀏覽器儲存的帳密、已登入工作階段、保存資料，以及加密錢包資訊。4
18
為何以區塊鏈支援路由會增加防禦難度
研究人員將 PasteSwitch 與使用 BNB Smart Chain 智慧合約作為「死信箱」式路由機制的基礎設施連結起來。據報，該行動在 2026 年 3 月至 7 月間輪替使用了 36 個網域。21
這與更廣泛的 ClickFix 趨勢相似：遭入侵網站會從 BNB Smart Chain 合約取得指令或酬載路由資料。由於營運者可以在鏈上變更指令，毋須逐一修改所有遭入侵網站，防禦方不能只靠封鎖單一網址或檔案雜湊值。3
36
39
目前仍不知道的事
最關鍵的問題仍是：攻擊者究竟如何取得 HBO Max Reddit 帳號或其廣告權限。公開報導尚未證實是憑證遭竊、工作階段權杖被偷、多因素驗證薄弱或遭繞過、第三方存取權遭濫用，還是其他途徑。19
21
同樣地，目前沒有可靠公開統計說明廣告曝光量、點擊數、實際執行指令的人數、感染數、財務損失或受影響用戶數。看見廣告本身不等於遭感染；受害者仍必須依頁面指示執行命令。公開資料也沒有證據顯示，這起事件已延伸至 Warner Bros. Discovery 的企業、客戶、製作或串流系統。19
21
這不只是 HBO Max 的單一事件
ClickFix 已成為同時鎖定 Windows 與 macOS 的常見社交工程技術。Microsoft 曾警告，這類活動會利用人們急於解決小型技術問題的心理，包括假 CAPTCHA 與假驗證提示；另有研究指出，超過 5,400 個遭入侵網站正提供含區塊鏈式酬載基礎設施的 ClickFix 誘餌。14
3
最耐用的防護原則很簡單：不要因為指令出現在廣告、外觀熟悉的網站，或驗證提示後面，就相信它是安全的。 只要網頁要求你把文字貼入 Terminal、「執行」、PowerShell 或 Windows Terminal，就應停止操作、關閉頁面，並直接前往該軟體或服務的官方網站取得支援資訊。2
14
Studio Global AI
繼續深入研究
這個頁面包含附來源佐證的答案，你可以在 Studio Global 內繼續追問。
大家也會問
「HBO Max 驗證 Reddit 帳號遭濫用，ClickFix 惡意廣告引導用戶親手執行竊資程式」的簡短答案是什麼？
研究人員指出，攻擊者利用 HBO Max 的驗證 Reddit 帳號，在約 48 小時內投放 108 則惡意廣告，將用戶帶往要求貼上指令的 ClickFix 網頁。
最值得優先驗證的重點是什麼？
研究人員指出，攻擊者利用 HBO Max 的驗證 Reddit 帳號，在約 48 小時內投放 108 則惡意廣告，將用戶帶往要求貼上指令的 ClickFix 網頁。 研究人員將這項跨平台投遞行動命名為 PasteSwitch；它會依作業系統切換酬載，並結合品牌冒充、竊資程式及可變動的區塊鏈路由。
接下來在實務上該怎麼做？
最重要的自保原則是：任何 CAPTCHA、串流頁面或軟體支援頁面若要求你把文字貼入 Terminal、PowerShell、Windows Terminal 或「執行」對話方塊，都應立即關閉。