# Contul verificat u/hbomax de pe Reddit a fost compromis și folosit pentru 108 reclame cu malware

> Contul verificat u/hbomax de pe Reddit a fost compromis: 108 reclame au direcționat utilizatorii Windows și macOS către malware.

Publicat: 15 septembrie 2026, 17:45 · Actualizat: 30 septembrie 2026, 12:54 · Autor: Vlad Barbu · Categorie: [Tehnologie](https://financiarul.ro/tehnologie/index.html.md) · Pagina web: https://financiarul.ro/tehnologie/contul-verificat-u-hbomax-de-pe-reddit-a-fost-compromis-si-folosit/ · Publicație: Financiarul

![Un stick de memorie USB negru cu o emblemă în relief reprezentând un craniu și oase încrucișate](https://financiarul.ro/wp-content/uploads/2026/09/reclame-malitioase-hbo-max-1024x683.jpg)

**Contul oficial și verificat u/hbomax de pe Reddit a fost compromis și folosit pentru publicarea a 108 reclame malițioase în aproximativ 48 de ore, care au direcționat utilizatorii Windows și macOS către atacuri [ClickFix](https://news24.ro/atacurile-clickfix-se-extind-pe-windows-si-mac-un-captcha-fals-ii-face/) ce instalau malware pentru furt de date și criptomonede, potrivit [BleepingComputer](https://www.bleepingcomputer.com/news/security/hackers-hijack-hbo-max-reddit-account-to-push-malware-in-clickfix-ads/).**

Cazul mută riscul din zona reclamelor anonime în zona conturilor verificate. În această campanie, profilul oficial a fost folosit atât pentru anunțuri care imitau HBO Max, cât și pentru promovarea unor instrumente AI false, software pentru dezvoltatori și utilitare macOS, ceea ce a lărgit publicul vizat dincolo de utilizatorii serviciului de streaming.

## Atacul s-a bazat pe comenzi lipite manual în instrumente legitime ale sistemului

Cercetătorii de la Hudson Rock și ADAMnetworks au legat incidentul de operațiunea PasteSwitch, care vizează atât Windows, cât și macOS. Mecanismul ClickFix folosit aici îi convinge pe utilizatori să copieze și să ruleze singuri comenzi malițioase în Windows Run, PowerShell sau Terminal macOS, sub pretextul remedierii unei erori, al verificării unui CAPTCHA sau al instalării unui program legitim.

Un utilizator Reddit a semnalat o reclamă care afișa contul verificat u/hbomax și promova o presupusă aplicație HBO Max pentru macOS. Anunțul trimitea către domeniul hbomaxx[.]us, unde butonul de descărcare nu livra o aplicație, ci instrucțiuni pentru deschiderea Terminalului și lipirea unei comenzi de instalare. Una dintre comenzile observate pe macOS folosea codificare Base64 pentru a ascunde instrucțiunile executate.

În logica PasteSwitch, comenzile lipite de victimă sunt doar poarta de intrare. Potrivit cercetătorilor citați de BleepingComputer, infrastructura atacatorilor schimbă în funcție de vizitator campania, platforma, payload-ul și metodele de furt de criptomonede.

## Payload-urile pentru macOS și Windows urmăreau credențiale, parole și active crypto

Pe macOS, unul dintre malware-urile distribuite a fost MacSync, capabil să fure credențiale din browsere, profiluri Firefox, date Telegram, informații din Apple Notes și parole macOS. Hudson Rock a identificat ember-bridge[.]com ca infrastructură folosită în septembrie pentru livrarea de malware în operațiunea PasteSwitch.

O altă componentă, denumită „AMOS helper”, crea persistență, adică menținea compromiterea activă după primul acces, printr-un director numit.com.apple.accountsd. De acolo, sistemele infectate puteau fi înscrise la servere controlate de atacatori pentru a primi sarcini suplimentare.

Campania a distribuit și aplicații false pentru portofelele Ledger, Trezor Suite și Exodus, construite pentru furtul frazelor de recuperare ale portofelelor de criptomonede. Separat, PasteSwitch a fost observat și împingând malware pentru deturnarea clipboardului folosit la copierea adreselor crypto, inclusiv AnimateClipper și ZigClipper.

Pe Windows, utilizatorii erau împinși să ruleze comenzi prin mshta și PowerShell. Unul dintre lanțurile de atac folosea un fișier MP3/HTA polyglot pentru a crea o sarcină programată, a porni PowerShell pe 32 de biți, a dezactiva Microsoft Antimalware Scan Interface, interfața de scanare antimalware a sistemului, și a genera infrastructură specifică victimei pe baza numelui computerului și al utilizatorului. Etapele ulterioare foloseau PowerShell obfuscat și shellcode pentru a încărca în memorie Amatera Stealer, fără salvarea payload-ului final pe disc.

## Distribuția reclamelor a arătat cât de largă era campania

Cele 108 reclame identificate au fost împărțite astfel:

- 40 trimiteau către hbomaxx[.]app.
- 36 promovau codex-craft[.]com, prezentat ca site pentru instrumente AI și dezvoltatori.
- 15 trimiteau către apple.clean-disk-guide[.]com.
- 11 direcționau către code-desktop[.]com.
- 6 promovau hbomax-macos[.]com.

Această diversificare a permis extinderea campaniei către utilizatori interesați de software AI, unelte pentru dezvoltatori și utilitare de sistem, nu doar către publicul care caută HBO Max.

## Reddit a suspendat reclamele după raportare

După raportarea anunțurilor, un administrator Reddit le-a suspendat și a transmis cazul echipelor de securitate și siguranță ale platformei.

BleepingComputer a contactat HBO și Warner Bros. Discovery pentru explicații, dar nu primise un răspuns la momentul publicării.

**Citește și:**

- [Cuponul de pensie pe septembrie 2026 este disponibil în portalul CNPP. Ce trebuie verificat în contul e-Talon](https://financiarul.ro/economie/cuponul-de-pensie-pe-septembrie-2026-este-disponibil-in-portalul-cnpp/)