Hackerangreb på HBO Max’s Reddit-konto
Hackere kaprede streamingtjenesten HBO Max‘s verificerede Reddit-konto tidligere på måneden og brugte den til at køre 108 ondsindede annoncer over to dage, advarer cybersikkerhedseksperter. I en rapport mandag forbinder forskere fra cyberkriminalitetsfirmaet Hudson Rock kontoovertagelsen med en bredere operation, der målretter passwords og oplysninger om kryptovaluta-wallets.
“Hændelsen blev fremhævet af Alex Cutts i r/cybersecurity subreddit. Mens de gennemgik platformen, stødte de på en officiel Reddit-annonce forfattet af den verificerede u/hbomax-konto,” skrev Hudson Rock.
“Annoncen promoverede aggressivt en native macOS-applikation for HBO Max, en selvstændig applikation, der i øjeblikket ikke eksisterer.” I stedet for at give et installationsprogram, instruerede siden besøgende i at åbne Terminal på en Mac eller Kør eller PowerShell på Windows og indsætte en kommando, der kunne inficere deres computer.
Ondsindede teknikker og mål
Teknikken, kendt som ClickFix, forklarer ondsindede kommandoer som rutinemæssige trin til installation af software, reparation af fejl eller bevis for, at en besøgende er menneskelig. Den kaprede konto gav disse instruktioner tilsyneladende støtte fra en genkendelig virksomhed. Forskere kaldte operationen “PasteSwitch” og advarede om, at dens leveringssystem ser ud til at tilpasse sig besøgendes enhed og den annoncerede software.
Observerede Mac-payloads inkluderede MacSync og Atomic macOS (AMOS), informationsstjælende malware designet til at stjæle følsomme oplysninger. Rapportede mål inkluderede browserlegitimationsoplysninger, Telegram-data, Apple Notes, gemte passwords og genopretningsfraser for kryptovaluta-wallets.
“Disse clippers anvendte Binance Smart Chain (BSC) kontrakter som mutable C2 dead drops,” skrev forskerne og forklarede, at malware tjekker Binance Smart Chain-kontrakter for den nyeste adresse til hackerens kontrolserver.
Hackere kan derefter opdatere den adresse, når de skifter servere, hvilket gør det muligt for malware at fortsætte med at finde dem. Den bredere operation blev også knyttet til kryptovaluta-clipboard-hijackere, som erstatter en kopieret wallet-adresse med en, der kontrolleres af en angriber. Et offer, der indsætter den erstattede adresse uden at tjekke den, kan sende midler til den forkerte modtager.
Reaktion og konsekvenser
Stjålne genopretningsfraser udgør en separat risiko, fordi de kan give angribere kontrol over den tilknyttede wallet. Ifølge cybersikkerhedsfirmaet Malwarebytes pauserede Reddit-administratorer annoncerne og åbnede en sikkerhedsundersøgelse efter at have modtaget rapporter. Rapporten fastslog ikke, hvordan kontoen blev kompromitteret, eller hvor mange mennesker der blev inficeret.
Den beskrev en Reddit-kontoovertagelse uden at præsentere beviser for et brud på HBO Max’s streamingtjeneste. ClickFix er dukket op i andre nylige kampagner, der målretter kryptovaluta-brugere. I august identificerede forskere næsten 2.000 kompromitterede WordPress-websteder, der understøttede en malware-operation, der brugte falske verifikationsprompter og kunne stjæle wallet-oplysninger.
Microsoft-forskere beskrev også en separat kampagne, der brugte falske CAPTCHAs til at narre Windows-brugere til at køre ondsindede kommandoer, med instruktioner hentet gennem BNB Chain.
