Hackers comprometieron la cuenta verificada de Reddit de HBO Max y la utilizaron para distribuir más de 100 anuncios maliciosos diseñados para engañar a los usuarios y que instalaran malware que roba información.
Investigadores en HudsonRock la campaña y ADAMnetworks que investigan descubrieron que los atacantes lanzaron 108 anuncios desde la cuenta oficial de u/hbomax durante un periodo de aproximadamente 48 horas. El uso de una cuenta establecida y verificada dio a los anuncios una apariencia de legitimidad que podría hacer que los usuarios fueran menos sospechosos.
Uno de los principales señuelos promovió lo que parecía una aplicación HBO Max para macOS. Los usuarios que seguían el anuncio eran llevados a sitios web diseñados para parecerse a páginas legítimas de descarga o instalación.
En lugar de proporcionar software genuino, los sitios utilizaban una técnica de ingeniería social conocida como ClickFix.
Los ataques ClickFix generalmente indican a los usuarios que copien un comando y lo peguen en un terminal u otra herramienta del sistema. Seguir esas instrucciones hace que la víctima ejecute código malicioso por sí misma, permitiendo a los atacantes instalar malware mientras hacen que la actividad parezca iniciada por el usuario.
La campaña de HBO Max se dirigió tanto a sistemas macOS como Windows. Los investigadores relacionaron el incidente con una operación publicitaria maliciosa más amplia conocida como PasteSwitch, que utiliza software falso, páginas de instalación y verificación similares para distribuir malware.
La campaña no se limitó al software falso de HBO Max. Los investigadores encontraron infraestructuras relacionadas que se hacían pasar por otras aplicaciones y herramientas, lo que sugiere que la cuenta de Reddit comprometida era un canal de distribución dentro de una operación considerablemente mayor.
El malware que roba información es especialmente peligroso porque puede recopilar credenciales y otra información sensible almacenada en ordenadores infectados. Dependiendo del malware involucrado, los datos robados pueden proporcionar a los atacantes un mayor acceso a cuentas y servicios en línea.
El incidente llamó la atención después de que usuarios de Reddit detectaran anuncios sospechosos aparentemente publicados por la cuenta verificada de HBO Max. Un usuario informó de un anuncio de una aplicación para macOS y descubrió que el sitio web enlazado intentaba convencer a los visitantes para que ejecutaran un comando en sus ordenadores.
Posteriormente, Reddit pausó los anuncios afectados y dijo que sus equipos de Seguridad y Protección estaban investigando lo ocurrido. La campaña maliciosa había estado activa al menos dos días antes de ser detenida.
El incidente demuestra lo valiosos que pueden ser las cuentas de redes sociales comprometidas para los distribuidores de malware. En lugar de depender completamente de perfiles claramente sospechosos, los atacantes pueden abusar de la reputación de una marca consolidada y combinarla con publicidad pagada para colocar contenido malicioso directamente delante de los usuarios.
La investigación ha vinculado los anuncios con la operación más amplia de PasteSwitch, pero no se han establecido públicamente detalles sobre cómo se comprometió inicialmente la cuenta de Reddit de HBO Max.