Hackare kapade HBO Max verifierade Reddit-konto och använde det för att sprida skadliga annonser. Annonserna riktade sig mot Windows- och macOS-användare med ClickFix-attacker utformade för att installera informationsstjälande skadlig kod.
Forskare identifierade 108 skadliga annonser som publicerades under cirka 48 timmar. Vissa utgav sig för att vara HBO Max, medan andra marknadsförde falska AI-verktyg, utvecklarprogramvara och systemverktyg.
Hackare kapar verifierat Reddit-konto
Forskare från Hudson Rock och ADAMnetworks undersökte kampanjen. De upptäckte att angripare hade tagit kontroll över det verifierade Reddit-kontot u/hbomax.
Brottslingarna använde sedan den betrodda profilen för att publicera 108 annonser. Eftersom annonserna kom från ett officiellt, verifierat konto framstod de som mer trovärdiga för Reddit-användare.
Vissa annonser marknadsförde en påstådd inbyggd HBO Max-applikation för macOS. HBO Max erbjuder dock inte programvaran som visades i kampanjen.
Andra annonser riktade sig till en bredare publik med falska AI-plattformar, utvecklarverktyg och macOS-verktyg. Därför sträckte sig operationen bortom streamingtjänstens användare.
Forskare identifierade 40 annonser kopplade till hbomaxx[.]app. Ytterligare 36 marknadsförde den falska AI- och utvecklingswebbplatsen codex-craft[.]com.
Samtidigt dirigerade 15 annonser användare till apple.clean-disk-guide[.]com. Elva marknadsförde code-desktop[.]com, medan sex pekade på hbomax-macos[.]com.
Falsk HBO Max-app använder ClickFix
HBO Max-kampanjen med skadlig kod använde en social engineering-metod som kallas ClickFix. Dessa attacker visar instruktioner som påstår sig lösa ett tekniskt problem eller installera legitim programvara.
Instruktionerna uppmanar dock användare att kopiera och klistra in ett skadligt kommando i ett operativsystemverktyg. Angripare riktar sig vanligtvis mot Windows Run, PowerShell och Terminal i macOS.
Denna metod har blivit populär eftersom offren själva kör kommandona. Följaktligen kan attacken kringgå webbläsarskydd och säkerhetsverktyg som övervakar konventionella nedladdningar av skadlig kod.
Kampanjen uppmärksammades först efter att en Reddit-användare lade märke till en annons från den verifierade HBO Max-profilen. Den marknadsförde vad som såg ut att vara en officiell macOS-applikation.
När användaren klickade på annonsen omdirigerades denne till en övertygande falsk HBO Max-webbplats. En domän som användes för detta ändamål var hbomaxx[.]us.
Webbplatsen visade en nedladdningsknapp. Ett klick på den laddade dock inte ner någon applikation. I stället instruerade sidan besökarna att öppna Terminal och klistra in ett kommando.
Skadligt kommando laddar ner Mac-skadlig kod
Ett macOS-kommando använde Base64-kodning för att dölja sitt verkliga syfte. Efter avkodning upptäckte forskarna att det laddade ner och körde ett shell-skript från infrastruktur som kontrollerades av angriparna.
Hudson Rock kopplade leveransdomänen till en bredare kampanj som var aktiv i september. Forskarna gav operationen namnet PasteSwitch.
Kampanjen levererade MacSync-skadlig kod i vissa attacker. MacSync kan stjäla webbläsaruppgifter, Firefox-profiler, Telegram-data, Apple Notes och macOS-lösenord.
En annan infektionskedja installerade ett verktyg som kallas AMOS helper. Det etablerade persistens genom en katalog som imiterade namnet på en legitim Apple-tjänst.
Den skadliga koden kunde sedan registrera den infekterade datorn hos en server som kontrollerades av angriparna. Denna anslutning gjorde det möjligt för brottslingarna att skicka ytterligare uppgifter till den komprometterade enheten.
Kampanjen riktar sig mot kryptovalutaplånböcker
PasteSwitch har också distribuerat falska versioner av populära applikationer för kryptovalutaplånböcker. Den förfalskade programvaran utgav sig för att vara Ledger, Trezor Suite och Exodus.
Dessa skadliga applikationer försökte stjäla återställningsfraser för plånböcker. Den som får tillgång till en sådan fras kan få kontroll över den tillhörande kryptovalutaplånboken.
Dessutom levererade kampanjen kapare av urklipp för kryptovalutor, såsom AnimateClipper och ZigClipper. Denna skadliga kod övervakar kopierade plånboksadresser och ersätter dem med adresser som kontrolleras av brottslingar.
Ett offer kan då omedvetet skicka kryptovaluta direkt till angriparen.
Forskarna valde namnet PasteSwitch eftersom offren klistrar in kommandon som tillhandahålls av angriparna på sina enheter. Samtidigt växlar operationens backend mellan plattformar, nyttolaster och tekniker för kryptovalutastöld beroende på varje besökare.
Windows-attacker använder PowerShell
Kampanjen riktade sig även mot Windows-datorer. I dessa attacker instruerades offren genom falska anvisningar att köra kommandon via mshta och PowerShell.
En infektionskedja använde en fil som fungerade både som en MP3-fil och en HTA-applikation. Den skapade en schemalagd uppgift och startade 32-bitarsversionen av PowerShell.
Attacken försökte sedan inaktivera Microsofts Antimalware Scan Interface. Dessutom genererade den offerspecifik infrastruktur med hjälp av datornamnet och användarnamnet.
Senare steg använde kraftigt maskerade PowerShell-kommandon och shellcode. Dessa komponenter laddade Amatera Stealer direkt i minnet utan att först spara den slutliga nyttolasten på enheten.
Denna teknik kan göra upptäckt svårare eftersom färre skadliga filer hamnar på datorns lagringsutrymme.
Reddit stoppar de skadliga annonserna
Forskare rapporterade att det komprometterade kontot stödde en mycket större annonsoperation. De olika annonserna riktade sig mot streamingkunder, utvecklare, AI-användare och personer som sökte efter systemverktyg.
Efter att användare rapporterat kampanjen pausade en Reddit-administratör de skadliga annonserna. Reddit hänvisade dem också till sina Security- och Safety-team för vidare utredning.
Forskarna har dock inte förklarat hur hackarna fick kontroll över det verifierade HBO Max-kontot. Det är också fortfarande oklart om de komprometterade några andra konton eller system som tillhör HBO eller Warner Bros. Discovery.
Inget av företagen hade svarat på frågor om incidenten vid tidpunkten för rapporteringen.
0 svar till ”HBO Max-skadlig kod sprids via annonser från ett hackat Reddit-konto”