Contul verificat u/hbomax de pe Reddit a fost compromis și folosit pentru 108 reclame cu malware

Contul oficial și verificat u/hbomax de pe Reddit a fost compromis și folosit pentru publicarea a 108 reclame malițioase în aproximativ 48 de ore, care au direcționat utilizatorii Windows și macOS către atacuri ClickFix ce instalau malware pentru furt de date și criptomonede, potrivit BleepingComputer.

Cazul mută riscul din zona reclamelor anonime în zona conturilor verificate. În această campanie, profilul oficial a fost folosit atât pentru anunțuri care imitau HBO Max, cât și pentru promovarea unor instrumente AI false, software pentru dezvoltatori și utilitare macOS, ceea ce a lărgit publicul vizat dincolo de utilizatorii serviciului de streaming.

Atacul s-a bazat pe comenzi lipite manual în instrumente legitime ale sistemului

Cercetătorii de la Hudson Rock și ADAMnetworks au legat incidentul de operațiunea PasteSwitch, care vizează atât Windows, cât și macOS. Mecanismul ClickFix folosit aici îi convinge pe utilizatori să copieze și să ruleze singuri comenzi malițioase în Windows Run, PowerShell sau Terminal macOS, sub pretextul remedierii unei erori, al verificării unui CAPTCHA sau al instalării unui program legitim.

Un utilizator Reddit a semnalat o reclamă care afișa contul verificat u/hbomax și promova o presupusă aplicație HBO Max pentru macOS. Anunțul trimitea către domeniul hbomaxx[.]us, unde butonul de descărcare nu livra o aplicație, ci instrucțiuni pentru deschiderea Terminalului și lipirea unei comenzi de instalare. Una dintre comenzile observate pe macOS folosea codificare Base64 pentru a ascunde instrucțiunile executate.

În logica PasteSwitch, comenzile lipite de victimă sunt doar poarta de intrare. Potrivit cercetătorilor citați de BleepingComputer, infrastructura atacatorilor schimbă în funcție de vizitator campania, platforma, payload-ul și metodele de furt de criptomonede.

Payload-urile pentru macOS și Windows urmăreau credențiale, parole și active crypto

Pe macOS, unul dintre malware-urile distribuite a fost MacSync, capabil să fure credențiale din browsere, profiluri Firefox, date Telegram, informații din Apple Notes și parole macOS. Hudson Rock a identificat ember-bridge[.]com ca infrastructură folosită în septembrie pentru livrarea de malware în operațiunea PasteSwitch.

O altă componentă, denumită „AMOS helper”, crea persistență, adică menținea compromiterea activă după primul acces, printr-un director numit.com.apple.accountsd. De acolo, sistemele infectate puteau fi înscrise la servere controlate de atacatori pentru a primi sarcini suplimentare.

Campania a distribuit și aplicații false pentru portofelele Ledger, Trezor Suite și Exodus, construite pentru furtul frazelor de recuperare ale portofelelor de criptomonede. Separat, PasteSwitch a fost observat și împingând malware pentru deturnarea clipboardului folosit la copierea adreselor crypto, inclusiv AnimateClipper și ZigClipper.

Pe Windows, utilizatorii erau împinși să ruleze comenzi prin mshta și PowerShell. Unul dintre lanțurile de atac folosea un fișier MP3/HTA polyglot pentru a crea o sarcină programată, a porni PowerShell pe 32 de biți, a dezactiva Microsoft Antimalware Scan Interface, interfața de scanare antimalware a sistemului, și a genera infrastructură specifică victimei pe baza numelui computerului și al utilizatorului. Etapele ulterioare foloseau PowerShell obfuscat și shellcode pentru a încărca în memorie Amatera Stealer, fără salvarea payload-ului final pe disc.

Distribuția reclamelor a arătat cât de largă era campania

Cele 108 reclame identificate au fost împărțite astfel:

• 40 trimiteau către hbomaxx[.]app.
• 36 promovau codex-craft[.]com, prezentat ca site pentru instrumente AI și dezvoltatori.
• 15 trimiteau către apple.clean-disk-guide[.]com.
• 11 direcționau către code-desktop[.]com.
• 6 promovau hbomax-macos[.]com.

Această diversificare a permis extinderea campaniei către utilizatori interesați de software AI, unelte pentru dezvoltatori și utilitare de sistem, nu doar către publicul care caută HBO Max.

Reddit a suspendat reclamele după raportare

După raportarea anunțurilor, un administrator Reddit le-a suspendat și a transmis cazul echipelor de securitate și siguranță ale platformei.

BleepingComputer a contactat HBO și Warner Bros. Discovery pentru explicații, dar nu primise un răspuns la momentul publicării.

Parteneri

Articole recomandate din rețeaua noastră

GetPonyCe verifici când îți vibrează volanul la viteză și când trebuie să opreștiBravonetCe seriale de comedie poți vedea într-o zi și cât durează fiecareLylaPrimark a programat deschideri la Bacău pe 17 noiembrie și la București pe 26 noiembrieRevista IoanaCât timp poți păstra 15 alimente în cămară și când trebuie să le arunciNews24Rețelele sociale ar putea bloca accesul copiilor sub 15 ani chiar și cu acordul părinților. Proiectul a trecut tacit de SenatDolce SportAna Maria Bărbosu a fost suspendată doi ani pentru trei abateri de localizare la controalele antidoping