Hackere kapret HBO Max’ verifiserte Reddit-konto og brukte den til å distribuere skadelige annonser. Annonsene rettet seg mot Windows- og macOS-brukere med ClickFix-angrep utviklet for å installere informasjonstyvende skadevare.
Forskere identifiserte 108 skadelige annonser som ble publisert i løpet av rundt 48 timer. Noen utga seg for å være HBO Max, mens andre promoterte falske AI-verktøy, utviklerprogramvare og systemverktøy.
Hackere kaprer verifisert Reddit-konto
Forskere fra Hudson Rock og ADAMnetworks undersøkte kampanjen. De fant ut at angripere hadde tatt kontroll over den verifiserte Reddit-kontoen u/hbomax.
De kriminelle brukte deretter den betrodde profilen til å publisere 108 annonser. Fordi annonsene kom fra en offisiell, verifisert konto, fremsto de som mer troverdige for Reddit-brukere.
Noen annonser promoterte en angivelig egen HBO Max-applikasjon for macOS. HBO Max tilbyr imidlertid ikke programvaren som ble vist i kampanjen.
Andre annonser rettet seg mot et bredere publikum med falske AI-plattformer, utviklerverktøy og macOS-verktøy. Dermed strakte operasjonen seg utover brukerne av strømmetjenesten.
Forskerne identifiserte 40 annonser knyttet til hbomaxx[.]app. Ytterligere 36 promoterte det falske AI- og utviklingsnettstedet codex-craft[.]com.
Samtidig sendte 15 annonser brukere til apple.clean-disk-guide[.]com. Elleve promoterte code-desktop[.]com, mens seks pekte til hbomax-macos[.]com.
Falsk HBO Max-app bruker ClickFix
HBO Max-skadevarekampanjen brukte en sosial manipuleringsteknikk kjent som ClickFix. Disse angrepene viser instruksjoner som hevder å løse et teknisk problem eller installere legitim programvare.
Instruksjonene ber imidlertid brukerne om å kopiere og lime inn en skadelig kommando i et operativsystemverktøy. Angripere retter seg ofte mot Windows Run, PowerShell og Terminal i macOS.
Denne metoden har blitt populær fordi ofrene kjører kommandoene selv. Dermed kan angrepet omgå nettleserbeskyttelse og sikkerhetsverktøy som overvåker konvensjonelle nedlastinger av skadevare.
Kampanjen fikk først oppmerksomhet etter at en Reddit-bruker la merke til en annonse fra den verifiserte HBO Max-profilen. Den promoterte det som så ut til å være en offisiell macOS-applikasjon.
Ved å klikke på annonsen ble brukeren omdirigert til et overbevisende falskt HBO Max-nettsted. Ett domene som ble brukt til dette formålet, var hbomaxx[.]us.
Nettstedet viste en nedlastingsknapp. Et klikk på den lastet imidlertid ikke ned en applikasjon. I stedet instruerte siden besøkende om å åpne Terminal og lime inn en kommando.
Skadelig kommando laster ned Mac-skadevare
Én macOS-kommando brukte Base64-koding for å skjule sitt egentlige formål. Etter dekoding fant forskerne ut at den lastet ned og kjørte et shell-skript fra infrastruktur kontrollert av angriperne.
Hudson Rock koblet leveringsdomenet til en større kampanje som var aktiv i september. Forskerne kalte denne operasjonen PasteSwitch.
Kampanjen leverte MacSync-skadevare i enkelte angrep. MacSync kan stjele nettleserlegitimasjon, Firefox-profiler, Telegram-data, Apple Notes og macOS-passord.
En annen infeksjonskjede installerte et verktøy kalt AMOS helper. Det etablerte persistens gjennom en katalog som etterlignet navnet på en legitim Apple-tjeneste.
Skadevaren kunne deretter registrere den infiserte datamaskinen hos en server kontrollert av angriperne. Denne forbindelsen gjorde det mulig for de kriminelle å sende flere oppgaver til den kompromitterte enheten.
Kampanjen retter seg mot kryptovalutalommebøker
PasteSwitch har også distribuert falske versjoner av populære applikasjoner for kryptovalutalommebøker. Den forfalskede programvaren utga seg for å være Ledger, Trezor Suite og Exodus.
Disse skadelige applikasjonene forsøkte å stjele gjenopprettingsfraser for lommebøker. Alle som får tilgang til en slik frase, kan få kontroll over den tilknyttede kryptovalutalommeboken.
I tillegg leverte kampanjen utklippstavlekaprere for kryptovaluta, som AnimateClipper og ZigClipper. Denne skadevaren overvåker kopierte lommebokadresser og erstatter dem med adresser kontrollert av kriminelle.
Et offer kan dermed uvitende sende kryptovaluta direkte til angriperen.
Forskerne valgte navnet PasteSwitch fordi ofrene limer inn kommandoer levert av angriperne på enhetene sine. Samtidig bytter operasjonens backend mellom plattformer, nyttelaster og teknikker for kryptovalutatyveri basert på hver enkelt besøkende.
Windows-angrep bruker PowerShell
Kampanjen rettet seg også mot Windows-datamaskiner. I disse angrepene instruerte falske veiledninger ofrene om å kjøre kommandoer gjennom mshta og PowerShell.
Én infeksjonskjede brukte en fil som fungerte både som en MP3-fil og en HTA-applikasjon. Den opprettet en planlagt oppgave og startet 32-bitersversjonen av PowerShell.
Angrepet forsøkte deretter å deaktivere Microsofts Antimalware Scan Interface. I tillegg genererte det offerspesifikk infrastruktur ved hjelp av datamaskinnavnet og brukernavnet.
Senere stadier brukte kraftig tilslørte PowerShell-kommandoer og shellcode. Disse komponentene lastet Amatera Stealer direkte inn i minnet uten først å lagre den endelige nyttelasten på enheten.
Denne teknikken kan gjøre oppdagelse vanskeligere fordi færre skadelige filer havner på datamaskinens lagringsplass.
Reddit stopper de skadelige annonsene
Forskere rapporterte at den kompromitterte kontoen støttet en mye større annonseoperasjon. De ulike annonsene rettet seg mot strømmekunder, utviklere, AI-brukere og personer som søkte etter systemverktøy.
Etter at brukere rapporterte kampanjen, satte en Reddit-administrator de skadelige annonsene på pause. Reddit henviste dem også til sine Security- og Safety-team for videre etterforskning.
Forskerne har imidlertid ikke forklart hvordan hackerne fikk kontroll over den verifiserte HBO Max-kontoen. Det er også fortsatt uklart om de kompromitterte andre kontoer eller systemer som tilhører HBO eller Warner Bros. Discovery.
Ingen av selskapene hadde svart på spørsmål om hendelsen på tidspunktet for rapporteringen.
0 responses to “HBO Max-skadevare spres gjennom annonser fra en hacket Reddit-konto”