黑客劫持 HBO Max 的 Reddit 账户以传播窃取加密货币的恶意软件

简报

• HBO Max 被劫持的 Reddit 账号在约 48 小时内投放了 108 条恶意广告。
• Malwarebytes 将这些广告与 PasteSwitch 联系起来，这是一项针对 Windows 和 Mac 用户并利用信息窃取恶意软件进行的行动。
• Reddit 暂停了这些广告并展开调查；受害者人数和加密货币损失尚未确认。

网络安全专家警告称，黑客本月早些时候劫持了流媒体服务 HBO Max 的经过验证的 Reddit 账号，并利用该账号在两天内投放了 108 条恶意广告。

在周一发布的 报告 中，网络犯罪情报公司 Hudson Rock 的研究人员将此次账号接管与一项针对密码和加密货币钱包信息的更广泛行动联系起来。

“这一事件是由 Alex Cutts 在 r/cybersecurity 子版块中披露的。在浏览该平台时，他们遇到了由经过验证的 u/hbomax 账号发布的官方 Reddit 广告，”Hudson Rock 写道。“该广告激进地推广了一个适用于 HBO Max 的原生 macOS 应用程序，而这是一个目前并不存在的独立应用程序。”

该网站并没有提供安装程序，而是指示访问者在 Mac 上打开 Terminal，或者在 Windows 上打开 Run 或 PowerShell，并粘贴一条可能感染其电脑的命令。

这种被称为 ClickFix 的技术将恶意命令伪装成安装软件、修复错误或证明访问者是人类的常规步骤。被劫持的账号让这些指令看起来得到了知名公司的支持。

研究人员将该行动命名为“PasteSwitch”，并警告称其交付系统似乎会根据访问者的设备和所宣传的软件进行调整。

观察到的 Mac 负载包括 MacSync 和 Atomic macOS (AMOS)，这些是旨在窃取敏感信息的信息窃取恶意软件。据报道，攻击目标包括浏览器凭据、Telegram 数据、Apple Notes、保存的密码和加密货币钱包恢复助记词。

“这些剪贴板窃取器利用 Binance Smart Chain (BSC) 合约作为可变的 C2 死信投递点，”研究人员写道，并解释说该恶意软件会检查 Binance Smart Chain 合约以获取黑客控制服务器的最新地址。黑客可以以后在更换服务器时更新该地址，从而使恶意软件能够持续找到他们。

这项更广泛的行动还与加密货币剪贴板劫持者有关，它们会将复制的钱包地址替换为攻击者控制的地址。受害者如果在未检查的情况下粘贴了被替换的地址，可能会将资金发送给错误的收款人。被盗的恢复助记词构成了另一种风险，因为它们可以让攻击者控制相关钱包。

根据网络安全公司 Malwarebytes 的说法，Reddit 管理员在收到报告后暂停了广告并启动了安全调查。该报告未确定账号是如何被入侵的，也未确定有多少人受到感染。它描述的是 Reddit 账号被接管的情况，没有证据表明 HBO Max 的流媒体服务遭到了破坏。

ClickFix 已出现在其他近期针对加密货币用户的活动中。在 8 月，研究人员发现了近 2,000 个被入侵的 WordPress 网站，这些网站支持一项利用虚假验证提示并可能窃取钱包信息的恶意软件行动。

微软研究人员还描述了一项单独的活动，该活动使用虚假 CAPTCHAs 诱骗 Windows 用户运行恶意命令，并通过 BNB Chain 检索指令。

每日简报通讯

开启每一天，获取当下的头条新闻，以及原创专题、播客、视频等更多内容。