简讯
- HBO Max被劫持的Reddit账号在约48小时内投放了108条恶意广告。
- Malwarebytes将广告与PasteSwitch行动联系起来，该行动针对Windows和Mac用户传播信息窃取恶意软件。
- Reddit暂停了这些广告并展开调查；受害者人数和加密货币损失尚未得到确认。

网络安全专家警告称，本月早些时候黑客劫持了流媒体服务平台HBO Max的已验证Reddit账号，并在两天内通过该账号投放了108条恶意广告。

网络犯罪情报公司Hudson Rock在其周一发布的报告中称，该账号接管事件与一项针对密码和加密货币钱包信息的更广泛行动有关。

“这起事件由Alex Cutts在r/cybersecurity subreddit中曝光。在浏览该平台时，他们遇到了由已验证账号u/hbomax撰写的官方Reddit广告，”Hudson Rock写道，“该广告大力推广一款HBO Max的原生macOS应用程序，而目前并不存在此类独立应用程序。”

网站并未提供安装程序，而是指示访客在Mac上打开终端，或在Windows上打开运行或PowerShell，然后粘贴可能感染其计算机的命令。

这种被称为“点击修复”（ClickFix）的技术将恶意命令伪装成安装软件、修复错误或证明访客是人类的常规步骤。被劫持的账号让那些指令看起来像是得到了知名公司的支持。

研究人员将此行动命名为“PasteSwitch”，并警告称其投递系统似乎会根据访客设备和所推广软件进行调整。

观察到的Mac有效载荷包括MacSync和Atomic macOS（AMOS），这是旨在窃取敏感信息的恶意软件。据报道，其目标包括浏览器凭据、Telegram数据、Apple Notes、保存的密码以及加密货币钱包恢复短语。

研究人员写道：“这些剪贴板劫持者利用币安智能链（BSC）合约作为可变C2死信箱。”他们解释说，恶意软件会检查币安智能链合约以获取黑客控制服务器的最新地址。随后，黑客可以在更换服务器时更新该地址，使恶意软件能够继续找到他们。

更广泛的行动还与加密货币剪贴板劫持者有关，后者会将复制的钱包地址替换为攻击者控制的地址。如果受害者未加检查就粘贴被替换的地址，资金可能会被发送到错误的收款方。窃取的恢复短语构成另一风险，因为它们可能赋予攻击者对关联钱包的控制权。

据网络安全公司Malwarebytes称，在收到报告后，Reddit管理员暂停了这些广告并展开了安全调查。报告并未说明账号是如何被攻破的，也未确认有多少人受到感染。报告描述了一起Reddit账号接管事件，但未提供涉及HBO Max流媒体服务平台遭受入侵的证据。

点击修复（ClickFix）最近也出现在其他针对加密货币用户的行动中。今年8月，研究人员发现了近2000个受感染的WordPress网站，这些网站支持一种利用虚假验证提示并可能窃取钱包信息的恶意软件行动。

微软研究人员还描述了一起单独的行动，该行动利用虚假验证码诱骗Windows用户运行恶意命令，并通过BNB Chain检索指令。