يحذر خبراء الأمن السيبراني من أن المتسللين اخترقوا حساب Reddit الموثق لخدمة البث HBO Max في وقت سابق من هذا الشهر واستخدموه لتشغيل 108 إعلانات خبيثة على مدار يومين.

في تقريرها يوم الاثنين، ربط باحثون من شركة استخبارات الجرائم الإلكترونية Hudson Rock عملية الاستيلاء على الحساب بعملية أوسع تستهدف كلمات المرور ومعلومات محافظ العملات المشفرة.

كتبت Hudson Rock: "تم الكشف عن الحادث من قبل أليكس كاتس في المنتدى الفرعي r/cybersecurity. أثناء تصفح المنصة، صادفوا إعلانًا رسميًا على Reddit نشره حساب u/hbomax الموثق." وأضافت: "كان الإعلان يروج بقوة لتطبيق macOS أصلي لـ HBO Max، وهو تطبيق مستقل غير موجود حاليًا."

بدلاً من توفير مثبت، وجه الموقع الزوار إلى فتح Terminal على جهاز Mac، أو Run أو PowerShell على Windows، ولصق أمر قد يصيب أجهزة الكمبيوتر الخاصة بهم.

التقنية، المعروفة باسم ClickFix، تخفي الأوامر الخبيثة كخطوات روتينية لتثبيت البرامج أو إصلاح الأخطاء أو إثبات أن الزائر إنسان. وقد أعطى الحساب المخترق هذه التعليمات دعمًا ظاهريًا من شركة معروفة.

أطلق الباحثون على العملية اسم "PasteSwitch"، محذرين من أن نظام تسليمها يبدو أنه يتكيف مع جهاز الزائر والبرامج المعلن عنها.

تضمنت الحمولة الخبيثة المرصودة على أجهزة Mac برامج MacSync و Atomic macOS (AMOS)، وهي برامج ضارة لسرقة المعلومات مصممة لسرقة البيانات الحساسة. وشملت الأهداف المبلغ عنها بيانات اعتماد المتصفح، وبيانات Telegram، وملاحظات Apple، وكلمات المرور المحفوظة، وعبارات استعادة محفظة العملات المشفرة.

كتب الباحثون: "استخدمت هذه القصاصات عقود Binance Smart Chain (BSC) كنقاط اتصال C2 قابلة للتغيير"، موضحين أن البرامج الضارة تتحقق من عقود Binance Smart Chain للحصول على أحدث عنوان لخادم التحكم الخاص بالمتسللين. ويمكن للمتسللين بعد ذلك تحديث هذا العنوان عند تبديل الخوادم، مما يسمح للبرامج الضارة بمواصلة العثور عليهم.

ارتبطت العملية الأوسع أيضًا بخاطفي حافظة العملات المشفرة، التي تستبدل عنوان محفظة منسوخ بعنوان يتحكم فيه المهاجم. وقد يرسل الضحية الذي يلصق العنوان البديل دون التحقق منه الأموال إلى المستلم الخطأ. وتشكل عبارات الاستعادة المسروقة خطرًا منفصلاً لأنها يمكن أن تمنح المهاجمين التحكم في المحفظة المرتبطة بها.

وفقًا لشركة الأمن السيبراني Malwarebytes، أوقف مسؤولو Reddit الإعلانات وفتحوا تحقيقًا أمنيًا بعد تلقي البلاغات. لم يحدد التقرير كيفية اختراق الحساب أو عدد الأشخاص المصابين. وقد وصف استيلاء على حساب Reddit، دون تقديم أي دليل على اختراق خدمة البث الخاصة بـ HBO Max.

ظهرت ClickFix في حملات أخرى حديثة تستهدف مستخدمي العملات المشفرة. في أغسطس، حدد الباحثون ما يقرب من 2000 موقع ويب WordPress مخترق تدعم عملية برامج ضارة استخدمت مطالبات تحقق مزيفة ويمكنها سرقة معلومات المحفظة.

كما وصف باحثو Microsoft حملة منفصلة تستخدم CAPTCHA مزيفة لخداع مستخدمي Windows لتشغيل أوامر خبيثة، مع استرداد التعليمات عبر سلسلة BNB.