Неизвестные злоумышленники смогли скомпрометировать официальный аккаунт стримингового сервиса HBO Max в социальной сети Reddit. Взломанную учетную запись они использовали для распространения вредоносных рекламных объявлений. По информации компаний Hudson Rock и ADAMnetworks, раскрывших атаку, примерно за 48 часов через верифицированный аккаунт Reddit u/hbomax были продемонстрированы 108 рекламных объявлений, запускавших атаки ClickFix с целью заражения устройств на Windows и macOS вредоносным ПО

Этот тип атак становится все популярнее среди киберпреступников: под предлогом исправления ошибки, прохождения CAPTCHA или установки легитимного программного обеспечения пользователей заставляют самостоятельно копировать и вставлять вредоносные команды в системные инструменты Windows или терминал macOS. Таким образом, поскольку жертвы сами запускают вредоносные команды с помощью легитимных инструментов операционной системы, атакующим удается обходить некоторые средства защиты браузеров и защитного ПО, предназначенные для обнаружения загрузки вредоносных программ.

Некоторые рекламные объявления, распространявшиеся через аккаунт HBO Max, выдавали себя за рекламу самого стримингового сервиса, тогда как другие продвигали поддельные ИИ-инструменты, программное обеспечение для разработчиков и утилиты для macOS. После нажатия на рекламу пользователи перенаправлялись на убедительно выглядевший поддельный сайт HBO Max, предлагавший загрузить приложение.

Одним из семейств вредоносного ПО, использовавшихся в этой атаке, является MacSync. По данным Hudson Rock, зловред похищает учетные данные из браузеров, профили Firefox, данные Telegram, содержимое Apple Notes и пароли macOS. В другой цепочке атаки использовался «AMOS helper», который закреплялся в зараженной системе, после чего вредоносное ПО могло подключать ее к подконтрольным злоумышленниками серверам для получения дополнительных заданий. В рамках кампании также распространялись поддельные приложения криптовалютных кошельков Ledger, Trezor Suite и Exodus, предназначенные для кражи фраз восстановления кошельков жертв.

После того как о вредоносной рекламе сообщили Reddit, администратор платформы приостановил ее показ и передал информацию специалистам Reddit, отвечающим за безопасность. Пока остается неизвестным, каким образом злоумышленники получили доступ к аккаунту HBO Max на Reddit и были ли затронуты какие-либо другие аккаунты или системы HBO либо Warner Bros. Discovery, которой принадлежит стриминговый сервис.