Durante un período de dos días, hackers tomaron el control de la cuenta verificada de HBO Max en Reddit y publicaron 108 anuncios maliciosos. Expertos en seguridad advierten que estos anuncios fueron diseñados para engañar a los visitantes a instalar malware capaz de robar contraseñas y datos de billeteras de criptomonedas.
Alex Cutts fue el primero en señalar la toma de control en el subreddit r/cybersecurity. Señaló un anuncio oficial de Reddit de la cuenta verificada u/hbomax que promocionaba una aplicación macOS nativa para HBO Max. Esa aplicación es falsa.
El Comando Malicioso
En lugar de ofrecer un instalador, el anuncio dirigió a los visitantes hacia Terminal en una Mac o Run o PowerShell en Windows. Les indicó copiar y pegar un solo comando en esas herramientas, un comando capaz de infectar su máquina.
El método se conoce como ClickFix, que encubre comandos dañinos dentro de lo que parecen ser pasos ordinarios para instalar software, corregir fallas o demostrar que un visitante no es una máquina. La cuenta que fue tomada dio esas indicaciones con el peso de una marca familiar detrás de ellas.
Investigadores de la firma de inteligencia sobre ciberdelitos Hudson Rock denominaron la operación “PasteSwitch”. Descubrieron que el sistema de entrega parece adaptarse al dispositivo del visitante y al software que se está anunciando.
Lo que el Malware Roba
En computadoras Apple, se encontraron dos cargas útiles observadas: MacSync y Atomic macOS (AMOS). Ambas están diseñadas para robar datos de un sistema, tomando el control de información confidencial.
Los objetivos reportados fueron extensos:
- Credenciales del navegador
- Datos de Telegram
- Notas de Apple
- Contraseñas guardadas (
- Frases de recuperación de billeteras de criptomonedas (
Los atacantes emplearon contratos de Binance Smart Chain (BSC) como puntos de entrega de comandos y control mutables. El malware busca la dirección actual del servidor de control de los hackers verificando estos contratos de BSC. Cuando los hackers se mueven a un nuevo servidor, pueden cambiar esa dirección, lo que permite que el malware continúe localizándola. (
La operación más amplia estuvo conectada con secuestradores de portapapeles vinculados a criptomonedas. Estas herramientas intercambian una dirección de billetera copiada con una ejecutada por un atacante. Una persona que pega la dirección alterada sin inspeccionarla podría enviar fondos a la parte equivocada. (
Las frases de recuperación que son tomadas por otros crean su propio peligro, ya que entregan el control total de la billetera a quien las toma. (
La Respuesta Hasta Ahora (
Malwarebytes dijo que los administradores de Reddit detuvieron los anuncios y lanzaron una investigación de seguridad tras los informes. El informe no pudo determinar cómo se tomó el control de la cuenta ni cuántas personas fueron afectadas. (
No se ofreció evidencia de una brecha en el servicio de transmisión de HBO Max junto con la toma de control de la cuenta descrita en Reddit. (
Campañas Relacionadas (
Otras campañas recientes han apuntado a usuarios de criptomonedas, con ClickFix apareciendo entre ellos. En agosto, investigadores encontraron casi 2.000 sitios web de WordPress comprometidos respaldando una operación de malware que se basaba en indicaciones de verificación falsas y era capaz de robar información de billeteras. (
Investigadores de Microsoft detallaron una campaña distinta que utilizó CAPTCHAs falsos para engañar a los usuarios de Windows para que ejecutaran comandos maliciosos, con instrucciones obtenidas a través de BNB Chain. (
Qué Deberían Revisar las Víctimas (
Siguiendo las instrucciones en uno de estos anuncios podría exponerte antes de que te des cuenta. El malware está diseñado para tomar frases de recuperación, lo que le da a un atacante el control total sobre tu billetera.
Es una guía sencilla: revisa tus cuentas. Busca cualquier cargo que no hayas autorizado. Actualiza tus frases de recuperación si crees que han sido comprometidas.
No aparece en el informe ningún dato sobre el número de víctimas o pérdidas confirmadas de criptomonedas, lo que sirve como un recordatorio de que muchos de estos ataques no se denuncian. A menudo, la gente se da cuenta de la advertencia demasiado tarde.
El hecho de que una cuenta corporativa verificada haya sido tomada sobre para difundir este malware es preocupante. Es el tipo de ataque que hace que la gente dude de si alguna advertencia en línea puede ser confiable.
Reddit actuó con rapidez para detener los anuncios, lo cual es alentador. Desafortunadamente, estos se ejecutaron durante dos días completos antes de que eso sucediera.
La operación fue sofisticada, adaptándose al dispositivo del visitante y al software que se anunciaba. Utilizó contratos de Binance Smart Chain como un punto de entrega, apuntando a usuarios que utilizan tanto sistemas Mac como Windows.
Esto demuestra la durabilidad de estas campañas. Los investigadores descubrieron miles de sitios de WordPress que habían sido comprometidos solo unas pocas semanas antes, y todavía estaban llevando a cabo exactamente la misma actividad.
El punto clave aquí es sencillo: siempre evita copiar comandos de fuentes que no conoces, incluso cuando esas fuentes parecen oficiales.
Las preguntas sobre cómo se tomó el control de la cuenta de HBO Max siguen sin respuesta, según el informe, sin que se haya realizado ninguna divulgación pública de las respuestas hasta el momento.
Por ahora, lo mejor que se puede hacer es estar alerta.
Recibe El Cuaderno.
Las mejores historias del día y cada veredicto nuevo, en español claro, en tu correo a las siete. Un correo al día, nada más.