ハッカーが HBO Max の Reddit アカウントを乗っ取り、Crypto 窃盗マルウェアを拡散

要約

• HBO Maxの乗っ取られたRedditアカウントが、約48時間にわたり108件の悪意のある広告を配信しました。
• Malwarebytesは、この広告をWindowsおよびMacユーザーを標的とした情報窃取型マルウェアを配布する活動「PasteSwitch」に関連付けました。
• Redditは広告を停止し、調査を開始しました。被害者数や暗号資産の損失額は現時点で確認されていません。

サイバーセキュリティの専門家は、今月初めにハッカーがストリーミングサービスHBO Maxの認証済みRedditアカウントを乗っ取り、2日間にわたって108件の悪意のある広告を配信したと警告しています。

月曜日のレポートで、サイバー犯罪インテリジェンス企業Hudson Rockのリサーチャーは、このアカウントの乗っ取りを、パスワードや暗号資産ウォレットの情報を標的としたより広範な活動に関連付けました。

「この事件は、r/cybersecurityサブレディットのAlex Cutts氏によって明らかにされました。プラットフォームを閲覧中、認証済みのu/hbomaxアカウントによる公式のReddit広告に遭遇したとのことです」とHudson Rockは述べています。「その広告は、現在存在しないHBO MaxのネイティブmacOS用スタンドアロンアプリケーションを執拗に宣伝していました。」

インストーラーを提供する代わりに、そのサイトは訪問者に対し、Macではターミナル、Windowsでは「ファイル名を指定して実行」またはPowerShellを開き、コンピュータを感染させる可能性のあるコマンドを貼り付けるよう指示していました。

ClickFixとして知られるこの手法は、悪意のあるコマンドを、ソフトウェアのインストール、エラーの修正、または人間であることを証明するための日常的な手順に見せかけます。乗っ取られたアカウントは、著名な企業の裏付けがあるかのようにこれらの指示を提示しました。

リサーチャーはこの活動を「PasteSwitch」と呼び、その配信システムが訪問者のデバイスや宣伝されているソフトウェアに適応しているようだと警告しています。

観測されたMacのペイロードには、機密情報を盗むように設計された情報窃取型マルウェアであるMacSyncやAtomic macOS (AMOS)が含まれていました。報告された標的には、ブラウザの認証情報、Telegramのデータ、Apple Notes、保存されたパスワード、暗号資産ウォレットのリカバリーフレーズなどが含まれています。

「これらのクリッパーは、Binance Smart Chain (BSC)のコントラクトを可変的なC2デッドドロップとして利用していました」とリサーチャーは記し、マルウェアがハッカーの制御サーバーの最新アドレスを確認するためにBinance Smart Chainのコントラクトをチェックすることを説明しました。ハッカーはサーバーを切り替える際にそのアドレスを更新できるため、マルウェアは継続的にサーバーを見つけることが可能になります。