Хакери зламали верифікований акаунт стримінгового сервісу HBO Max на Reddit на початку цього місяця та використали його для розміщення 108 шкідливих рекламних оголошень протягом двох днів, попереджають експерти з кібербезпеки.

У своєму звіті, опублікованому в понеділок, дослідники з фірми кіберзлочинної розвідки Hudson Rock пов'язують захоплення облікового запису з ширшою операцією, спрямованою на викрадення паролів та інформації про криптовалютні гаманці.

"Інцидент був виявлений Алексом Каттсом в субредіті r/cybersecurity. Переглядаючи платформу, вони натрапили на офіційну рекламу Reddit, автором якої був верифікований акаунт u/hbomax", — написали Hudson Rock. — "Реклама агресивно просувала нативну програму HBO Max для macOS, окрему програму, якої наразі не існує".

Замість того, щоб надати інсталятор, сайт інструктував відвідувачів відкрити Термінал на Mac або "Виконати" чи PowerShell на Windows і вставити команду, яка могла заразити їхній комп'ютер.

Ця техніка, відома як ClickFix, маскує шкідливі команди під звичайні кроки для встановлення програмного забезпечення, виправлення помилок або доказу того, що відвідувач є людиною. Зламаний акаунт надавав цим інструкціям видиму підтримку відомої компанії.

Дослідники назвали операцію "PasteSwitch", попереджаючи, що її система доставки, схоже, адаптується до пристрою відвідувача та рекламованого програмного забезпечення.

Виявлені корисні навантаження для Mac включали MacSync та Atomic macOS (AMOS) — шкідливе програмне забезпечення для викрадення інформації, призначене для крадіжки конфіденційних даних. Серед цілей були облікові дані браузера, дані Telegram, Apple Notes, збережені паролі та фрази відновлення криптовалютних гаманців.

"Ці кліпери використовували контракти Binance Smart Chain (BSC) як змінювані "мертві точки" C2", — написали дослідники, пояснюючи, що шкідливе ПЗ перевіряє контракти Binance Smart Chain на наявність останньої адреси сервера керування хакерів. Хакери можуть оновлювати цю адресу при зміні серверів, дозволяючи шкідливому ПЗ продовжувати їх знаходити.

Ширша операція також була пов'язана з перехоплювачами буфера обміну криптовалют, які замінюють скопійовану адресу гаманця на ту, що контролюється зловмисником. Жертва, яка вставляє підставлену адресу, не перевіряючи її, може відправити кошти не тому отримувачу. Викрадені фрази відновлення становлять окремий ризик, оскільки вони можуть надати зловмисникам контроль над пов'язаним гаманцем.

За даними фірми з кібербезпеки Malwarebytes, адміністратори Reddit призупинили рекламні оголошення та розпочали розслідування безпеки після отримання повідомлень. У звіті не було встановлено, як саме було скомпрометовано обліковий запис та скільки людей було заражено. У ньому йшлося про захоплення облікового запису Reddit, без доказів злому стримінгового сервісу HBO Max.

ClickFix з'являвся й в інших нещодавніх кампаніях, націлених на користувачів криптовалют. У серпні дослідники виявили майже 2000 скомпрометованих вебсайтів WordPress, які підтримували шкідливу операцію, що використовувала фальшиві запити на верифікацію та могла викрадати інформацію про гаманці.

Дослідники Microsoft також описали окрему кампанію, що використовувала фальшиві CAPTCHA для обману користувачів Windows, щоб ті запускали шкідливі команди, причому інструкції отримувалися через BNB Chain.