Hacker kaperten den verifizierten Reddit-Account von HBO Max und nutzten ihn zur Verbreitung schädlicher Anzeigen. Die Anzeigen zielten mit ClickFix-Angriffen auf Windows- und macOS-Nutzer ab und sollten informationsstehlende Malware installieren.
Forscher identifizierten 108 schädliche Anzeigen, die innerhalb von rund 48 Stunden veröffentlicht wurden. Einige gaben sich als HBO Max aus, während andere gefälschte KI-Tools, Entwicklersoftware und Systemprogramme bewarben.
Hacker kapern verifizierten Reddit-Account
Forscher von Hudson Rock und ADAMnetworks untersuchten die Kampagne. Sie stellten fest, dass Angreifer die Kontrolle über den verifizierten Reddit-Account u/hbomax übernommen hatten.
Die Kriminellen nutzten das vertrauenswürdige Profil anschließend, um 108 Anzeigen zu veröffentlichen. Da die Anzeigen von einem offiziellen, verifizierten Account stammten, wirkten sie auf Reddit-Nutzer glaubwürdiger.
Einige Anzeigen bewarben eine angeblich native HBO-Max-Anwendung für macOS. HBO Max bietet die in der Kampagne gezeigte Software jedoch nicht an.
Andere Anzeigen richteten sich mit gefälschten KI-Plattformen, Entwicklertools und macOS-Dienstprogrammen an ein breiteres Publikum. Daher ging die Operation über die Nutzer des Streamingdienstes hinaus.
Forscher identifizierten 40 Anzeigen, die mit hbomaxx[.]app verknüpft waren. Weitere 36 bewarben die gefälschte KI- und Entwicklungswebsite codex-craft[.]com.
Unterdessen leiteten 15 Anzeigen Nutzer zu apple.clean-disk-guide[.]com weiter. Elf bewarben code-desktop[.]com, während sechs auf hbomax-macos[.]com verwiesen.
Gefälschte HBO-Max-App nutzt ClickFix
Die HBO-Max-Malware-Kampagne nutzte eine Social-Engineering-Methode namens ClickFix. Bei diesen Angriffen werden Anweisungen angezeigt, die vorgeben, ein technisches Problem zu lösen oder legitime Software zu installieren.
Die Anweisungen fordern Nutzer jedoch dazu auf, einen schädlichen Befehl zu kopieren und in ein Betriebssystem-Tool einzufügen. Angreifer zielen häufig auf Windows Run, PowerShell und das macOS-Terminal ab.
Diese Methode ist populär geworden, weil die Opfer die Befehle selbst ausführen. Dadurch kann der Angriff Browser-Schutzmechanismen und Sicherheitstools umgehen, die herkömmliche Malware-Downloads überwachen.
Die Kampagne erregte erstmals Aufmerksamkeit, nachdem ein Reddit-Nutzer eine Anzeige des verifizierten HBO-Max-Profils bemerkt hatte. Sie bewarb eine scheinbar offizielle macOS-Anwendung.
Beim Anklicken der Anzeige wurde der Nutzer auf eine überzeugend gestaltete gefälschte HBO-Max-Website weitergeleitet. Eine dafür verwendete Domain war hbomaxx[.]us.
Die Website zeigte eine Download-Schaltfläche. Beim Anklicken wurde jedoch keine Anwendung heruntergeladen. Stattdessen forderte die Seite Besucher dazu auf, das Terminal zu öffnen und einen Befehl einzufügen.
Schädlicher Befehl lädt Mac-Malware herunter
Ein macOS-Befehl verwendete Base64-Kodierung, um seinen eigentlichen Zweck zu verschleiern. Nach der Dekodierung stellten Forscher fest, dass er ein Shell-Skript von einer von Angreifern kontrollierten Infrastruktur herunterlud und ausführte.
Hudson Rock brachte die Auslieferungsdomain mit einer umfassenderen Kampagne in Verbindung, die im September aktiv war. Die Forscher nannten diese Operation PasteSwitch.
Die Kampagne verbreitete bei einigen Angriffen die Malware MacSync. MacSync kann Browser-Anmeldedaten, Firefox-Profile, Telegram-Daten, Apple Notes und macOS-Passwörter stehlen.
Eine weitere Infektionskette installierte ein Tool namens AMOS helper. Es stellte Persistenz über ein Verzeichnis her, dessen Name den eines legitimen Apple-Dienstes imitierte.
Die Malware konnte den infizierten Computer anschließend bei einem von den Angreifern kontrollierten Server registrieren. Über diese Verbindung konnten die Kriminellen zusätzliche Aufgaben an das kompromittierte Gerät senden.
Kampagne zielt auf Kryptowährungs-Wallets ab
PasteSwitch hat außerdem gefälschte Versionen beliebter Kryptowährungs-Wallet-Anwendungen verbreitet. Die gefälschte Software gab sich als Ledger, Trezor Suite und Exodus aus.
Diese schädlichen Anwendungen versuchten, Wiederherstellungsphrasen von Wallets zu stehlen. Wer Zugriff auf eine solche Phrase erhält, kann möglicherweise die Kontrolle über das zugehörige Kryptowährungs-Wallet übernehmen.
Darüber hinaus verbreitete die Kampagne Kryptowährungs-Clipboard-Hijacker wie AnimateClipper und ZigClipper. Diese Malware überwacht kopierte Wallet-Adressen und ersetzt sie durch Adressen, die von Kriminellen kontrolliert werden.
Ein Opfer kann dadurch unwissentlich Kryptowährung direkt an den Angreifer senden.
Die Forscher wählten den Namen PasteSwitch, weil die Opfer von Angreifern bereitgestellte Befehle auf ihren Geräten einfügen. Gleichzeitig wechselt das Backend der Operation je nach Besucher zwischen Plattformen, Payloads und Techniken zum Diebstahl von Kryptowährungen.
Windows-Angriffe nutzen PowerShell
Die Kampagne zielte auch auf Windows-Computer ab. Bei diesen Angriffen forderten gefälschte Anweisungen die Opfer dazu auf, Befehle über mshta und PowerShell auszuführen.
Eine Infektionskette verwendete eine Datei, die sowohl als MP3-Datei als auch als HTA-Anwendung fungierte. Sie erstellte eine geplante Aufgabe und startete die 32-Bit-Version von PowerShell.
Anschließend versuchte der Angriff, Microsofts Antimalware Scan Interface zu deaktivieren. Darüber hinaus generierte er mithilfe des Computernamens und des Benutzernamens opferspezifische Infrastruktur.
In späteren Phasen kamen stark verschleierte PowerShell-Befehle und Shellcode zum Einsatz. Diese Komponenten luden Amatera Stealer direkt in den Arbeitsspeicher, ohne die endgültige Payload zuvor auf dem Gerät zu speichern.
Diese Technik kann die Erkennung erschweren, da weniger schädliche Dateien auf dem Speicher des Computers erscheinen.
Reddit stoppt die schädlichen Anzeigen
Forscher berichteten, dass der kompromittierte Account eine wesentlich größere Werbeoperation unterstützte. Die verschiedenen Anzeigen zielten auf Streaming-Kunden, Entwickler, KI-Nutzer und Personen ab, die nach Systemprogrammen suchten.
Nachdem Nutzer die Kampagne gemeldet hatten, pausierte ein Reddit-Administrator die schädlichen Anzeigen. Reddit verwies sie außerdem zur weiteren Untersuchung an seine Security- und Safety-Teams.
Die Forscher haben jedoch nicht erklärt, wie die Hacker die Kontrolle über den verifizierten HBO-Max-Account erlangten. Es bleibt ebenfalls unklar, ob sie weitere Accounts oder Systeme von HBO oder Warner Bros. Discovery kompromittierten.
Zum Zeitpunkt der Berichterstattung hatte keines der beiden Unternehmen auf Fragen zu dem Vorfall geantwortet.
0 Kommentare zu „HBO-Max-Malware verbreitet sich über Anzeigen eines gehackten Reddit-Kontos“