Hackere kaprede HBO Max’ verificerede Reddit-konto og brugte den til at distribuere skadelige annoncer. Annoncerne var rettet mod Windows- og macOS-brugere med ClickFix-angreb, der var designet til at installere informationsstjælende malware.
Forskere identificerede 108 skadelige annoncer, der blev offentliggjort i løbet af omkring 48 timer. Nogle udgav sig for at være HBO Max, mens andre promoverede falske AI-værktøjer, udviklersoftware og systemværktøjer.
Hackere kaprer verificeret Reddit-konto
Forskere fra Hudson Rock og ADAMnetworks undersøgte kampagnen. De fandt ud af, at angribere havde overtaget den verificerede Reddit-konto u/hbomax.
De kriminelle brugte derefter den betroede profil til at offentliggøre 108 annoncer. Fordi annoncerne kom fra en officiel, verificeret konto, fremstod de som mere troværdige over for Reddit-brugere.
Nogle annoncer promoverede en angivelig native HBO Max-applikation til macOS. HBO Max tilbyder dog ikke den software, der blev vist i kampagnen.
Andre annoncer var rettet mod et bredere publikum med falske AI-platforme, udviklerværktøjer og macOS-værktøjer. Derfor strakte operationen sig ud over brugerne af streamingtjenesten.
Forskerne identificerede 40 annoncer knyttet til hbomaxx[.]app. Yderligere 36 promoverede det falske AI- og udviklingswebsted codex-craft[.]com.
Samtidig dirigerede 15 annoncer brugere til apple.clean-disk-guide[.]com. Elleve promoverede code-desktop[.]com, mens seks pegede på hbomax-macos[.]com.
Falsk HBO Max-app bruger ClickFix
HBO Max-malwarekampagnen brugte en social engineering-metode kendt som ClickFix. Disse angreb viser instruktioner, der hævder at løse et teknisk problem eller installere legitim software.
Instruktionerne fortæller dog brugerne, at de skal kopiere og indsætte en skadelig kommando i et operativsystemværktøj. Angribere retter sig ofte mod Windows Run, PowerShell og Terminal i macOS.
Denne metode er blevet populær, fordi ofrene selv udfører kommandoerne. Derfor kan angrebet omgå browserbeskyttelse og sikkerhedsværktøjer, der overvåger konventionelle malwaredownloads.
Kampagnen fik først opmærksomhed, efter at en Reddit-bruger bemærkede en annonce fra den verificerede HBO Max-profil. Den promoverede, hvad der så ud til at være en officiel macOS-applikation.
Ved at klikke på annoncen blev brugeren omdirigeret til et overbevisende falsk HBO Max-websted. Et domæne, der blev brugt til dette formål, var hbomaxx[.]us.
Webstedet viste en downloadknap. Et klik på den downloadede dog ikke en applikation. I stedet instruerede siden besøgende i at åbne Terminal og indsætte en kommando.
Skadelig kommando downloader Mac-malware
En macOS-kommando brugte Base64-kodning til at skjule sit egentlige formål. Efter afkodning fandt forskerne ud af, at den downloadede og kørte et shell-script fra infrastruktur kontrolleret af angriberne.
Hudson Rock forbandt leveringsdomænet med en bredere kampagne, der var aktiv i september. Forskerne gav denne operation navnet PasteSwitch.
Kampagnen leverede MacSync-malware i nogle angreb. MacSync kan stjæle browserloginoplysninger, Firefox-profiler, Telegram-data, Apple Notes og macOS-adgangskoder.
En anden infektionskæde installerede et værktøj kaldet AMOS helper. Det etablerede persistens gennem en mappe, der efterlignede navnet på en legitim Apple-tjeneste.
Malwaren kunne derefter registrere den inficerede computer hos en server kontrolleret af angriberne. Denne forbindelse gjorde det muligt for de kriminelle at sende yderligere opgaver til den kompromitterede enhed.
Kampagnen er rettet mod kryptovalutawallets
PasteSwitch har også distribueret falske versioner af populære applikationer til kryptovalutawallets. Den falske software udgav sig for at være Ledger, Trezor Suite og Exodus.
Disse skadelige applikationer forsøgte at stjæle gendannelsesfraser til wallets. Enhver med adgang til en sådan frase kan få kontrol over den tilknyttede kryptovalutawallet.
Desuden leverede kampagnen udklipsholderkaprere til kryptovaluta såsom AnimateClipper og ZigClipper. Denne malware overvåger kopierede wallet-adresser og erstatter dem med adresser kontrolleret af kriminelle.
Et offer kan derefter ubevidst sende kryptovaluta direkte til angriberen.
Forskerne valgte navnet PasteSwitch, fordi ofrene indsætter kommandoer leveret af angriberne på deres enheder. Samtidig skifter operationens backend mellem platforme, payloads og teknikker til tyveri af kryptovaluta baseret på den enkelte besøgende.
Windows-angreb bruger PowerShell
Kampagnen var også rettet mod Windows-computere. I disse angreb instruerede falske vejledninger ofrene i at udføre kommandoer gennem mshta og PowerShell.
En infektionskæde brugte en fil, der fungerede både som en MP3-fil og en HTA-applikation. Den oprettede en planlagt opgave og startede 32-bit-versionen af PowerShell.
Angrebet forsøgte derefter at deaktivere Microsofts Antimalware Scan Interface. Derudover genererede det offerspecifik infrastruktur ved hjælp af computernavnet og brugernavnet.
Senere stadier brugte stærkt slørede PowerShell-kommandoer og shellcode. Disse komponenter indlæste Amatera Stealer direkte i hukommelsen uden først at gemme den endelige payload på enheden.
Denne teknik kan gøre det vanskeligere at opdage angrebet, fordi færre skadelige filer ender på computerens lager.
Reddit stopper de skadelige annoncer
Forskere rapporterede, at den kompromitterede konto understøttede en langt større annonceoperation. De forskellige annoncer var rettet mod streamingkunder, udviklere, AI-brugere og personer, der søgte efter systemværktøjer.
Efter at brugere rapporterede kampagnen, satte en Reddit-administrator de skadelige annoncer på pause. Reddit henviste dem også til sine Security- og Safety-teams med henblik på yderligere undersøgelse.
Forskerne har dog ikke forklaret, hvordan hackerne fik kontrol over den verificerede HBO Max-konto. Det er også fortsat uklart, om de kompromitterede andre konti eller systemer tilhørende HBO eller Warner Bros. Discovery.
Ingen af virksomhederne havde besvaret spørgsmål om hændelsen på tidspunktet for rapporteringen.
0 svar til “HBO Max-malware spredes gennem annoncer fra en hacket Reddit-konto”