Gli hacker hanno compromesso l’account Reddit verificato di HBO Max e l’hanno usato per distribuire più di 100 pubblicità dannose progettate per ingannare gli utenti facendogli installare malware che rubano informazioni.
I ricercatori e HudsonRock ADAMnetworks le indagini sulla campagna hanno scoperto che gli attaccanti hanno lanciato 108 annunci dall’account ufficiale u/hbomax in un periodo di circa 48 ore. L’uso di un account consolidato e verificato ha dato alle pubblicità un’apparenza di legittimità che potrebbe rendere gli utenti meno sospetti.
Uno dei principali richiamo promuoveva quella che sembrava un’applicazione HBO Max per macOS. Gli utenti che seguivano la pubblicità venivano indirizzati a siti web progettati per assomigliare a pagine di download o installazione legittime.
Invece di fornire software autentico, i siti utilizzavano una tecnica di ingegneria sociale nota come ClickFix.
Gli attacchi ClickFix generalmente istruiscono gli utenti a copiare un comando e incollarlo in un terminale o in un altro strumento di sistema. Seguire queste istruzioni fa sì che la vittima esegue da sola codice malevolo, permettendo agli attaccanti di installare malware mentre fa sembrare l’attività avviata dall’utente.
La campagna HBO Max ha preso di mira sia i sistemi macOS che Windows. I ricercatori hanno collegato l’incidente a un’operazione pubblicitaria dannosa più ampia nota come PasteSwitch, che utilizza software false, pagine di installazione e verifica simili per diffondere malware.
La campagna non si limitava al software HBO Max finto. Gli investigatori hanno trovato infrastrutture correlate che si spacciavano per altre applicazioni e strumenti, suggerendo che l’account Reddit compromesso fosse un canale di distribuzione all’interno di un’operazione considerevolmente più grande.
Il malware che ruba informazioni è particolarmente pericoloso perché può raccogliere credenziali e altre informazioni sensibili memorizzate su computer infetti. A seconda del malware coinvolto, i dati rubati possono potenzialmente fornire agli aggressori un ulteriore accesso a account e servizi online.
L’incidente ha attirato l’attenzione dopo che gli utenti di Reddit hanno notato annunci sospetti apparentemente pubblicati dall’account verificato di HBO Max. Un utente ha segnalato una pubblicità per un’applicazione macOS e ha scoperto che il sito collegato cercava di convincere i visitatori a eseguire un comando sui loro computer.
Successivamente Reddit ha messo in pausa le pubblicità interessate e ha dichiarato che i suoi team di Sicurezza e Protezione stavano indagando su quanto accaduto. La campagna malevola era attiva da almeno due giorni prima di essere interrotta.
L’incidente dimostra quanto gli account social compromessi, possano essere preziosi per i distributori di malware. Invece di affidarsi esclusivamente a profili evidentemente sospetti, gli attaccanti possono abusare della reputazione di un marchio affermato e combinarla con pubblicità a pagamento per mettere contenuti dannosi direttamente davanti agli utenti.
L’indagine ha collegato le pubblicità all’operazione più ampia di PasteSwitch, ma i dettagli su come l’account Reddit di HBO Max sia stato inizialmente compromesso non sono stati renduti pubblici.