Des pirates ont compromis le compte Reddit vérifié de HBO Max et l’ont utilisé pour distribuer plus de 100 publicités malveillantes destinées à tromper les utilisateurs afin qu’ils installent des logiciels malveillants volant des informations.
Les chercheurs de HudsonRock la campagne et ADAMnetworks l’ont enquêté ont découvert que les attaquants ont lancé 108 publicités depuis le compte officiel u/hbomax sur une période d’environ 48 heures. L’utilisation d’un compte établi et vérifié donnait aux publicités une apparence de légitimité qui pouvait rendre les utilisateurs moins suspects.
L’un des principaux leurres a promu ce qui semblait être une application HBO Max pour macOS. Les utilisateurs qui suivaient la publicité étaient dirigés vers des sites web conçus pour ressembler à des pages de téléchargement ou d’installation légitimes.
Au lieu de fournir un logiciel authentique, les sites utilisaient une technique d’ingénierie sociale appelée ClickFix.
Les attaques ClickFix demandent généralement aux utilisateurs de copier une commande et de la coller dans un terminal ou un autre outil système. Suivre ces instructions pousse la victime à exécuter elle-même du code malveillant, permettant aux attaquants d’installer des logiciels malveillants tout en donnant l’impression que l’activité a été initiée par l’utilisateur.
La campagne HBO Max visait à la fois les systèmes macOS et Windows. Les chercheurs ont relié l’incident à une opération publicitaire malveillante plus large appelée PasteSwitch, qui utilise des logiciels similaires, des pages d’installation et de vérification pour distribuer des logiciels malveillants.
La campagne ne se limitait pas aux faux logiciels HBO Max. Les enquêteurs ont trouvé des infrastructures associées usurpant d’autres applications et outils, suggérant que le compte Reddit compromis était un canal de distribution au sein d’une opération considérablement plus vaste.
Les logiciels malveillants de vol d’informations sont particulièrement dangereux car ils peuvent collecter des identifiants et d’autres informations sensibles stockées sur des ordinateurs infectés. Selon le logiciel malveillant impliqué, les données volées peuvent potentiellement offrir aux attaquants un accès supplémentaire à des comptes et services en ligne.
L’incident a attiré l’attention après que des utilisateurs de Reddit ont remarqué des publicités suspectes apparemment publiées par le compte vérifié HBO Max. Un utilisateur a signalé une publicité pour une application macOS et a découvert que le site lié tentait de convaincre les visiteurs d’exécuter une commande sur leur ordinateur.
Reddit a ensuite mis en pause les publicités concernées et a indiqué que ses équipes de sécurité et de sûreté enquêtaient sur ce qui s’était passé. La campagne malveillante était active depuis au moins deux jours avant d’être arrêtée.
L’incident démontre à quel point des comptes de réseaux sociaux compromis peuvent être précieux pour les distributeurs de malwares. Plutôt que de se fier uniquement à des profils manifestement suspects, les attaquants peuvent abuser de la réputation d’une marque établie et la combiner à de la publicité payante pour placer du contenu malveillant directement devant les utilisateurs.
L’enquête a lié ces publicités à l’opération plus large de PasteSwitch, mais les détails sur la manière dont le compte Reddit HBO Max a été initialement compromis n’ont pas été établis publiquement.