החשבון המאומת של HBO Max ב-Reddit נפרץ והריץ 108 מודעות שהפיצו נוזקות לגניבת סיסמאות
במשך כ-48 שעות פרסם החשבון הרשמי של HBO Max ב-Reddit מודעות לאפליקציות מזויפות, שהובילו לאתרים שביקשו מהגולשים להדביק פקודה במחשב. כך עובדת שיטת ClickFix, ומה עסקים צריכים ללמוד.
TL;DR בקצרה
- החשבון המאומת u/hbomax ב-Reddit נפרץ ושימש להרצת 108 מודעות זדוניות במשך כ-48 שעות, לפי Hudson Rock ו-ADAMnetworks.
- המודעות הובילו לאתרים מתחזים שבמקום הורדה ביקשו להדביק פקודה ב-Terminal או בחלון ההפעלה של Windows.
- במק הותקנו נוזקות כמו MacSync ו-AMOS שגונבות סיסמאות, נתוני Telegram ומפתחות לארנקי קריפטו. ב-Windows הותקנה Amatera.
- Reddit עצרה את המודעות ופתחה בחקירה. לא ידוע איך החשבון נפרץ.
מודעה מחשבון מאומת של מותג מוכר נראית כמו הדבר הכי בטוח ברשת. תוקפים פרצו לחשבון הרשמי והמאומת של HBO Max ב-Reddit בתחילת ספטמבר 2026. במשך כ-48 שעות הריץ החשבון 108 מודעות. המודעות הובילו את הגולשים להתקנת נוזקות שגונבות סיסמאות.
את הקמפיין ניתחו חברת המודיעין Hudson Rock מתל אביב וחברת ADAMnetworks. ADAMnetworks פרסמה את הממצאים ב-13 בספטמבר. BleepingComputer דיווח על הקמפיין ב-14 בספטמבר.
אפליקציה שלא קיימת של HBO Max, ופקודה שהגולש מריץ בעצמו
לפי Help Net Security, 46 מהמודעות התחזו ל-HBO Max והציעו אפליקציה למק שלא קיימת בכלל. 36 מודעות קידמו גרסה מזויפת של Codex, כלי התכנות של OpenAI. עוד 15 מודעות הציעו כלי ניקוי דיסק למק.
משתמש Reddit דיווח על המודעות החשודות כבר ב-6 בספטמבר. הוא העריך שהחשבון הגיע לידי פורצים.
מי שלחץ הגיע לאתר שנראה כמו האתר של HBO, אבל כפתור ההורדה לא הוריד דבר. במקום זה הופיעו הוראות. הן ביקשו לפתוח את ה-Terminal במק, או את חלון ההפעלה וה-PowerShell ב-Windows. אחר כך הן ביקשו להדביק פקודה שהאתר מספק.
זו שיטת ClickFix: במקום לפרוץ למחשב, התוקף משכנע את המשתמש להריץ את הקוד הזדוני בעצמו. מכיוון שהפקודה רצה דרך כלי לגיטימי של מערכת ההפעלה, חלק מההגנות לא עוצרות אותה.
מה הנוזקות גונבות
במק, הפקודה התקינה את MacSync ואת AMOS. אלה נוזקות שאוספות סיסמאות שמורות מהדפדפן ונתוני Telegram. הן אוספות גם פתקים מ-Apple Notes ואת סיסמת המשתמש של המחשב.
חלק מהקורבנות קיבלו גרסאות מזויפות של אפליקציות לארנקי קריפטו כמו Ledger ו-Exodus. הגרסאות האלה נועדו לגנוב את מילות השחזור. ב-Windows הותקנה Amatera, שרצה בזיכרון בלבד, מצלמת מסך ומפענחת סיסמאות מהדפדפן. לצידן פעלו כלים שמחליפים כתובת ארנק קריפטו שהועתקה ללוח בכתובת של התוקף.
ADAMnetworks קוראת למבצע PasteSwitch, ומתארת תשתית שמתאימה את השלב הבא למערכת ההפעלה של המבקר. המפעילים שמרו את כתובות שרתי השליטה בחוזים חכמים על Binance Smart Chain. כך, כשדומיין נחסם, הם פשוט עדכנו את החוזה לכתובת חדשה. לפי החוקרים, אותה מערכת שימשה גם להתחזות ל-Claude, ל-Homebrew, ל-GitHub ולאפליקציות נוספות.
למה חשבון מאומת כמו של HBO Max הוא מטרה
הפורצים לא היו צריכים לקנות אמון, הם קיבלו אותו מוכן. בדיקות הפלטפורמה מאשרות בקלות חשבון מאומת עם היסטוריית פרסום נקייה. הגולשים גם לא חושדים בו. לדברי אלון גל, מנהל הטכנולוגיה של Hudson Rock, ערוצי הפצה אמינים הופכים למטרה מועדפת. ערוצים כאלה משמשים להפצת נוזקות גונבות מידע.
Reddit עצרה את המודעות ופתחה בחקירה. לא ידוע איך הפורצים השתלטו על החשבון. HBO ו-Warner Bros. Discovery לא הגיבו לפניית BleepingComputer.
הלקח רלוונטי לכל עסק שמנהל חשבון פרסום, ב-Reddit, ב-Meta או ב-Google. חשבון מותג שנפרץ יכול להפוך בתוך שעות לכלי הפצה של נוזקות. הכלי מגיע עם התקציב, האמינות והשם של העסק.
מה זה אומר עבורכם
- לעולם אל תדביקו פקודה מאתר: שום אתר לגיטימי לא יבקש מכם להדביק פקודה במערכת ההפעלה. לא ב-Terminal, לא בחלון ההפעלה (Win+R) ולא ב-PowerShell. גם לא כדי להוריד אפליקציה או ״לאמת שאתם לא רובוט״. זה הסימן הברור ביותר להונאה.
- הורידו אפליקציות רק מהמקור: המודעה מגיעה מחשבון מאומת? היכנסו בעצמכם לאתר הרשמי או לחנות האפליקציות.
- אם כבר הרצתם פקודה כזו: נתקו את המחשב מהרשת. החליפו ממחשב אחר את הסיסמאות החשובות. התנתקו מכל החיבורים הפעילים בחשבונות, והעבירו כספי קריפטו לארנק חדש.
- אבטחו את חשבונות הפרסום של העסק: הפעילו אימות דו-שלבי לכל מי שיש לו גישה. צמצמו הרשאות מנהל. הגדירו התראות על קמפיינים חדשים ועל שינויים בתקציב.
- לצוותי IT: הגדירו התראה כשה-Terminal מריץ curl שמועבר ישירות ל-zsh. הגדירו התראה גם כשדפדפן מפעיל את mshta או את PowerShell.
מה הלאה
לפי Malwarebytes, גרסאות חדשות של macOS מציגות אזהרה כשמדביקים פקודה ב-Terminal. אבל האזהרה לא מופיעה אצל כולם. לכן אי אפשר להסתמך עליה.
ClickFix ממשיכה להתפשט כי היא עוקפת את רוב ההגנות הטכניות. הדרך היעילה ביותר לעצור אותה היא שהמשתמשים יכירו אותה.
מקורות והרחבה
- Hackers hijack HBO Max Reddit account to push malware in ClickFix adsBleepingComputer
- HBO Max ads exposed the PasteSwitch ClickFix operationADAMnetworks
- Attackers hijack HBO Max's Reddit account for 48-hour malvertising blitzHelp Net Security
- HBO Max's verified Reddit account hijacked to spread malwareMalwarebytes
- Hudson RockWikipedia
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
