Über einen Zeitraum von zwei Tagen übernahmen Hacker die verifizierte Reddit-Konto von HBO Max und veröffentlichten 108 bösartige Anzeigen. Sicherheitsexperten warnen davor, dass diese Anzeigen darauf ausgelegt waren, Besucher dazu zu bringen, Malware zu installieren, die in der Lage ist, Passwörter und Daten von Kryptowährungs-Wallets zu stehlen.
Alex Cutts meldete die Übernahme zuerst im r/cybersecurity-Subreddit. Er wies auf eine offizielle Reddit-Anzeige vom verifizierten Konto u/hbomax hin, die eine native macOS-App für HBO Max beworben hat. Diese App ist gefälscht.
Der Bösartige Befehl
Anstatt einen Installer anzubieten, wies die Anzeige Besucher auf Terminal auf einem Mac oder Run oder PowerShell auf Windows hin. Sie wurden angewiesen, einen einzelnen Befehl in diese Tools zu kopieren und einzufügen, einen Befehl, der ihre Maschine infizieren kann.
Die Methode trägt den Namen ClickFix, der schädliche Befehle innerhalb scheinbar gewöhnlicher Schritte zur Installation von Software, zur Behebung von Fehlern oder zur Verifizierung eines Besuchers verbirgt, dass es sich nicht um eine Maschine handelt. Das übernommen Konto gab diese Anweisungen mit dem Gewicht einer bekannten Marke hinter sich.
Forscher von Hudson Rock, einer Firma für Cybercrime-Intelligence, nannten die Operation „PasteSwitch“. Sie fanden heraus, dass das Delivery-System an das Gerät des Besuchers und die beworbene Software angepasst zu werden scheint.
Was die Malware stiehlt
Auf Apple-Computern wurden zwei beobachtete Nutzlasten gefunden: MacSync und Atomic macOS (AMOS). Beide sind darauf ausgelegt, Daten von einem System zu stehlen und sensible Informationen zu erlangen.
Die berichteten Ziele waren umfangreich:
- Browser-Anmeldedaten
- Telegram-Daten
- Apple Notes
- Gespeicherte Passwörter (
- Wiederherstellungsphrasen für Krypto-Wallets (
Die Angreifer nutzten Binance Smart Chain (BSC)-Verträge als veränderliche Command-and-Control-Dead-Drops. Die Malware ermittelt die aktuelle Adresse des Kontrollservers der Hacker, indem sie diese BSC-Verträge überprüft. Wenn die Hacker zu einem neuen Server wechseln, können sie diese Adresse ändern, wodurch die Malware weiterhin den Standort ermitteln kann. (
Die umfassendere Operation war mit Clipboard-Hijackern verknüpft, die auf Kryptowährungen ausgerichtet sind. Diese Tools tauschen eine kopierte Wallet-Adresse gegen eine aus, die von einem Angreifer betrieben wird. Eine Person, die die geänderte Adresse einfügt, ohne sie zu überprüfen, könnte Gelder an die falsche Partei senden. (
Wiederherstellungsphrasen, die von anderen übernommen werden, bergen ihrerseits eigene Gefahren, da sie der Person, die sie übernimmt, die volle Kontrolle über die Wallet übertragen. (
Die bisherige Reaktion (
Malwarebytes teilte mit, dass die Administratoren von Reddit die Anzeigen gestoppt und eine Sicherheitsuntersuchung eingeleitet hätten, nachdem Berichte eingegangen waren. Der Bericht konnte nicht feststellen, wie das Konto übernommen wurde oder wie viele Personen betroffen waren. (
Es wurden keine Beweise für einen Einbruch in den Streaming-Dienst HBO Max vorgelegt, der der auf Reddit beschriebenen Kontoübernahme zugrunde liegt. (
Verwandte Kampagnen (
Andere aktuelle Kampagnen haben sich an Krypto-Nutzer gerichtet, wobei ClickFix darunter auftaucht. Im August fanden Forscher fast 2.000 kompromittierte WordPress-Websites, die eine Malware-Operation unterstützten, die auf gefälschte Verifizierungsaufforderungen setzte und in der Lage war, Wallet-Informationen zu stehlen. (
Forscher von Microsoft berichteten über eine separate Kampagne, die gefälschte CAPTCHAs nutzte, um Windows-Benutzer dazu zu bringen, bösartige Befehle auszuführen, wobei die Anweisungen über BNB Chain abgerufen wurden. (
Was Opfer überprüfen sollten (
Die Befolgung der Anweisungen in einer dieser Anzeigen kann Sie schon bald gefährden. Die Malware ist darauf ausgelegt, Wiederherstellungsphrasen zu stehlen, was einem Angreifer die volle Kontrolle über Ihre Wallet einräumt.
Es ist eine unkomplizierte Anweisung: Überprüfen Sie Ihre Konten. Suchen Sie nach nicht autorisierten Gebühren. Aktualisieren Sie Ihre Wiederherstellungsphrasen, sollten Sie vermuten, dass diese kompromittiert wurden.
Im Bericht fehlen eine Opferzahl und bestätigte Kryptowährungsverluste, was eine Erinnerung daran ist, dass viele dieser Angriffe ungemeldet bleiben. Menschen erkennen die Warnung oft zu spät.
Es ist besorgniserregend, dass ein verifiziertes Unternehmenskonto übernommen wurde, um diese Malware zu verbreiten. Es ist die Art von Angriff, die dazu führt, dass man daran zweifelt, ob man irgendeiner Online-Warnung trauen kann.
Reddit hat schnell gehandelt, um die Anzeigen zu stoppen, was ermutigend ist. Leider liefen sie zwei volle Tage, bevor dies geschah.
Die Operation war ausgeklügelt und passte sich dem Gerät des Besuchers sowie der beworbenen Software an. Sie nutzte Binance Smart Chain-Verträge als Dead Drop und zielte auf Benutzer ab, die sowohl Mac- als auch Windows-Systeme betrieben.
Dies demonstriert die Widerstandsfähigkeit dieser Kampagnen. Forscher entdeckten Tausende von WordPress-Seiten, die erst vor wenigen Wochen kompromittiert worden waren, und die immer noch genau dieselbe Aktivität ausübten.
Der Hauptpunkt ist hier unkompliziert: Vermeiden Sie es, Befehle aus unbekannten Quellen zu kopieren, selbst wenn diese Quellen offiziell erscheinen.
Fragen dazu, wie HBO Max‘ Konto übernommen wurde, bleiben unbeantwortet, so heißt es im Bericht, es gab bisher keine öffentliche Bekanntmachung der Antworten.
Im Moment kann man nur wachsam bleiben.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.