Attacco ClickFix tramite account Reddit di HBO Max

Ignoti cybercriminali hanno preso il controllo dell’account HBO Max su Reddit e iniziato a mostrare inserzioni pubblicitarie sfruttate per effettuare un attacco ClickFix. Lo scopo finale è installare infostealer per Windows e macOS. Le inserzioni sono state rimosse. Al momento non è arrivato nessun commento da HBO o Warner Bros. Discovery.

Non esiste l’app HBO Max per macOS

Gli attacchi ClickFix sono diventati molto popolari tra i cybercriminali, in quanto sfruttano esclusivamente le azioni delle ignare vittime. Per risolvere un problema, verificare un CAPTCHA o installare software viene chiesto di eseguire comandi malevoli in Windows Run, PowerShell o nel Terminale di macOS. Ciò consente di aggirare le protezioni dei sistemi operativi.

Un utente ha segnalato l’attacco dopo aver visto un’inserzione sull’account Reddit di HBO Max che pubblicizzava l’app nativa per macOS. L’accesso al servizio di streaming con un Mac è possibile solo tramite browser, quindi l’annuncio dell’app poteva sicuramente attirare l’attenzione. Cliccando sulla pubblicità veniva mostrato un sito fake. Cliccando sul pulsante di download appariva la classica schermata con il comando da eseguire nel Terminale di macOS.

In base all’analisi effettuata dai ricercatori di Hudson Rock e ADAMnetworks, i cybercriminali hanno pubblicato almeno 108 inserzioni in 48 ore. L’attacco farebbe parte della campagna PasteSwitch contro Windows e macOS. In questo caso sono stati distribuiti MacSync (infostealer che ruba credenziali dal browser, profili di Firefox, dati di Telegram e password di macOS) e AMOS Helper (stabilisce la persistenza e collega il Mac al server dei cybercriminali).

I cybercriminali distribuiscono anche app contraffatte per Ledger, Trezor Suite e Exodus, usate per rubare le seed phrase dei wallet. Come detto, le inserzioni sono state rimosse. Non è noto come i cybercriminali hanno ottenuto l’accesso all’account.