Hackerangrep på HBO Max-konto
Hackere kapret den verifiserte Reddit-kontoen til streamingtjenesten HBO Max tidligere denne måneden og brukte den til å publisere 108 ondsinnede annonser over to dager, advarer cybersikkerhetseksperter. I sin rapport mandag knytter forskere fra cybersikkerhetsfirmaet Hudson Rock kontoovertakelsen til en bredere operasjon som retter seg mot passord og informasjon om kryptovaluta-lommebøker.
«Hendelsen ble avdekket av Alex Cutts i r/cybersecurity subreddit. Mens de bladde gjennom plattformen, kom de over en offisiell Reddit-annonse skrevet av den verifiserte u/hbomax-kontoen,» skrev Hudson Rock.
«Annonsen promoterte aggressivt en innebygd macOS-applikasjon for HBO Max, en frittstående applikasjon som for øyeblikket ikke eksisterer.» I stedet for å gi en installasjonsprogram, instruerte nettstedet besøkende om å åpne Terminal på en Mac, eller Kjør eller PowerShell på Windows, og lime inn en kommando som kunne infisere datamaskinen deres.
Teknikker og trusler
Teknikken, kjent som ClickFix, forkler ondsinnede kommandoer som rutinemessige trinn for å installere programvare, fikse feil eller bevise at en besøkende er menneskelig. Den kaprede kontoen ga disse instruksjonene tilsynelatende støtte fra et gjenkjennelig selskap. Forskere kalte operasjonen «PasteSwitch», og advarte om at leveringssystemet ser ut til å tilpasse seg besøkendes enhet og programvaren som annonseres.
Observerte Mac-payloads inkluderte MacSync og Atomic macOS (AMOS), informasjon-stjeler malware designet for å stjele sensitiv informasjon. Rapporterte mål inkluderte nettleserlegitimasjon, Telegram-data, Apple Notater, lagrede passord og gjenopprettingsfraser for kryptovaluta-lommebøker.
«Disse klipperne benyttet Binance Smart Chain (BSC) kontrakter som mutable C2 dead drops,» skrev forskerne, og forklarte at malware sjekker Binance Smart Chain-kontrakter for den nyeste adressen til hackerens kontrollserver.
Hackere kan deretter oppdatere den adressen når de bytter servere, noe som gjør at malware kan fortsette å finne dem. Den bredere operasjonen ble også knyttet til kryptovaluta-klippere som erstatter en kopiert lommebokadresse med en som kontrolleres av en angriper. Et offer som limer inn den substituerte adressen uten å sjekke den, kan sende midler til feil mottaker. Stjålne gjenopprettingsfraser utgjør en egen risiko fordi de kan gi angripere kontroll over den tilknyttede lommeboken.
Reaksjoner og videre tiltak
Ifølge cybersikkerhetsfirmaet Malwarebytes, pauset Reddit-administratorer annonsene og åpnet en sikkerhetsundersøkelse etter å ha mottatt rapporter. Rapporten fastslo ikke hvordan kontoen ble kompromittert eller hvor mange personer som ble infisert. Den beskrev en Reddit-kontoovertakelse, uten bevis for et brudd på HBO Max sin streamingtjeneste.
ClickFix har dukket opp i andre nylige kampanjer som retter seg mot kryptovaluta-brukere. I august identifiserte forskere nesten 2 000 kompromitterte WordPress-nettsteder som støttet en malware-operasjon som brukte falske verifiseringsforespørsel og kunne stjele lommebokinformasjon. Microsoft-forskere beskrev også en separat kampanje som brukte falske CAPTCHAs for å lure Windows-brukere til å kjøre ondsinnede kommandoer, med instruksjoner hentet gjennom BNB Chain.
