Hackerlar, HBO Max’in doğrulanmış Reddit hesabını ele geçirdi ve kullanıcıları bilgi çalan kötü amaçlı yazılım yüklemeye kandırmak için tasarlanmış 100’den fazla kötü amaçlı reklam dağıtmak için kullandı.
Kampanya araştırmacıları HudsonRock ve ADAMnetworks araştırmacıları, saldırganların yaklaşık 48 saat içinde resmi u/hbomax hesabından 108 reklam yayınladığını buldu. Kurulmuş ve doğrulanmış bir hesap kullanımı, reklamlara meşruiyet görünümü vererek kullanıcıları daha az şüpheli hale getirebilecek bir meşruiyet görünümü yarattı.
Ana tuzaklardan biri, macOS için HBO Max uygulaması gibi görünen bir şeyi tanıtıyordu. Reklamı takip eden kullanıcılar, yasal indirme veya kurulum sayfalarına benzeyen web sitelerine yönlendirildi.
Gerçek yazılım sağlamak yerine, siteler ClickFix adı verilen bir sosyal mühendislik tekniği kullandı.
ClickFix saldırıları genellikle kullanıcılara bir komutu kopyalayıp terminale veya başka bir sistem aracına yapıştırmalarını ister. Bu talimatlara uyulmak, mağdurun zararlı kodu kendisi çalıştırmasına yol açar ve saldırganlar zararlı yazılım kurabilir ve aktiviteyi kullanıcı tarafından başlatılmış gibi gösterebilir.
HBO Max kampanyası hem macOS hem de Windows sistemlerini hedef aldı. Araştırmacılar, olayı benzer sahte yazılım, kurulum ve doğrulama sayfaları kullanarak kötü amaçlı yazılım yayan PasteSwitch adlı daha geniş bir kötü amaçlı reklam operasyonuyla ilişkilendirdi.
Kampanya sadece sahte HBO Max yazılımlarıyla sınırlı değildi. Araştırmacılar, diğer uygulamalar ve araçları taklit eden ilgili altyapı buldu ve bu da ele salınan Reddit hesabının çok daha büyük bir operasyonun tek bir dağıtım kanalı olduğunu düşündürdü.
Bilgi çalan kötü amaçlı yazılım özellikle tehlikelidir çünkü enfekte bilgisayarlarda saklanan kimlik bilgilerini ve diğer hassas bilgileri toplayabilir. İlgili yazılıma bağlı olarak, çalınan veriler saldırganlara çevrimiçi hesaplara ve hizmetlere daha fazla erişim sağlayabilir.
Olay, Reddit kullanıcılarının doğrulanmış HBO Max hesabı tarafından yayınlanan şüpheli reklamları fark etmesinin ardından dikkat çekti. Bir kullanıcı, bir macOS uygulaması için bir reklam bildirdi ve bağlantılı sitenin ziyaretçileri bilgisayarlarında bir komut çalıştırmaya ikna etmeye çalıştığını keşfetti.
Reddit daha sonra etkilenen reklamları durdurdu ve Güvenlik ve Emniyet ekiplerinin olanları araştırdığını söyledi. Kötü niyetli kampanya durdurulmadan önce en az iki gün aktif kalmıştı.
Bu olay, tehlikedeki sosyal medya hesaplarının kötü amaçlı yazılım dağıtıcıları için ne kadar değerli olabileceğini gösteriyor. Saldırganlar, tamamen açıkça şüpheli profillere güvenmek yerine, yerleşik bir markanın itibarını kötüye kullanarak bunu ücretli reklamlarla birleştirerek kötü amaçlı içerikleri doğrudan kullanıcıların önüne koyabilirler.
Soruşturma, reklamları daha geniş PasteSwitch operasyonuyla ilişkilendirdi, ancak HBO Max Reddit hesabının başlangıçta nasıl ele geçirildiğine dair ayrıntılar kamuoyuna açıklanmadı.