HBO Max Reddit 账户被劫持，用于传播窃取加密货币的恶意软件

据网络犯罪情报公司 Hudson Rock 周一发布的一份报告，黑客本月早些时候劫持了流媒体服务 HBO Max 的已验证 Reddit 账户，并利用该账户在约 48 小时内发布了 108 条恶意广告。被劫持的账户推广虚假的 macOS 应用程序，指示用户将恶意命令粘贴到电脑中，从而传播窃取密码和加密货币钱包数据的信息窃取恶意软件。Hudson Rock 将这项名为 PasteSwitch 的行动与更广泛的 ClickFix 活动联系起来。该活动会根据用户的设备调整恶意软件的投递方式，并已出现在近期针对加密货币用户的多起攻击中。

黑客通过虚假的 HBO Max 应用广告传播恶意软件

据 Hudson Rock 称，Alex Cutts 在浏览 Reddit 时，于 r/cybersecurity 子版块发现了这一事件。Cutts 遇到了一则由已验证的 u/hbomax 账户发布的官方 Reddit 广告，该广告推广一款 HBO Max 原生 macOS 应用程序，但目前并不存在这样一款独立应用程序。

该网站没有提供安装程序，而是指示用户在 Mac 上打开 Terminal，或在 Windows 上打开“运行”或 PowerShell，然后粘贴一条可能感染电脑的命令。这种被称为 ClickFix 的技术，会将恶意命令伪装成安装软件、修复错误或证明用户是人类时所需执行的常规步骤。被劫持的账户让这些指令看似得到了知名公司的支持。

研究人员警告称，PasteSwitch 行动的投递系统似乎会根据用户的设备和所宣传的软件进行调整。

恶意软件针对加密货币钱包和浏览器凭据

观测到的 Mac 载荷包括 MacSync 和 Atomic macOS（AMOS）。这类信息窃取恶意软件旨在窃取敏感信息。据报告，其目标包括浏览器凭据、Telegram 数据、Apple Notes、已保存的密码以及加密货币钱包恢复短语。

研究人员写道：“这些剪贴板劫持程序利用 Binance Smart Chain（BSC）合约作为可变的 C2 死信箱。”他们解释说，恶意软件会检查 Binance Smart Chain 合约，以获取黑客控制服务器的最新地址。随后，黑客可以在切换服务器时更新该地址，使恶意软件能够持续找到他们的服务器。

这项更广泛的行动还与加密货币剪贴板劫持程序有关。这类程序会将复制的钱包地址替换为攻击者控制的地址。受害者如果未进行核对就粘贴被替换的地址，可能会将资金发送给错误的收款人。被盗的恢复短语也会带来单独的风险，因为它们可能让攻击者控制相关钱包。

Reddit 暂停广告并展开安全调查

据网络安全公司 Malwarebytes 称，Reddit 管理员在收到报告后暂停了这些广告，并展开安全调查。报告未确定账户遭入侵的方式，也未说明有多少人受到感染。报告描述了一起 Reddit 账户接管事件，但没有提供 HBO Max 流媒体服务遭到入侵的证据。

ClickFix 已出现在近期其他针对加密货币用户的活动中。8 月，研究人员发现近 2,000 个遭入侵的 WordPress 网站支持一项恶意软件行动。该行动使用虚假的验证提示，并能够窃取钱包信息。微软研究人员还描述了另一项使用虚假 CAPTCHA 欺骗 Windows 用户运行恶意命令的活动，其指令通过 BNB Chain 获取。

常见问题

被劫持的 HBO Max Reddit 账户传播了什么恶意软件？

被劫持的账户向 Mac 用户传播了 MacSync 和 Atomic macOS（AMOS）信息窃取恶意软件，目标包括浏览器凭据、Telegram 数据、Apple Notes、已保存的密码以及加密货币钱包恢复短语。研究人员将这项行动称为 PasteSwitch。该行动还使用了加密货币剪贴板劫持程序，将复制的钱包地址替换为攻击者控制的地址。

Reddit 如何应对 HBO Max 账户遭劫持事件？

据网络安全公司 Malwarebytes 称，Reddit 管理员在收到报告后暂停了这些广告，并展开安全调查。报告未确定有多少人受到感染，也未说明账户遭入侵的方式，并且没有提供 HBO Max 流媒体服务遭到入侵的证据。