HBO Max Reddit账号被黑投递ClickFix恶意软件
事件概述黑客入侵 HBO Max 在 Reddit 的官方账号 u/hbomax，并利用该账号发起恶意广告活动，最终将 macOS 和 Windows 用户引向 ClickFix 页面。该活动被跟踪为 PasteSwitch。在约 48 小时窗口内，攻击者推送了 108 条恶意广告，分为五个诱饵组。
攻击链
攻击者借助已认证的 u/hbomax 账号，推广一个并不存在的 HBO Max 原生 macOS 应用。用户点击恶意广告后，会进入 hbomaxx[.]us；该页面模仿 HBO Max 官网，并带有下载按钮。下载按钮会打开 ClickFix 提示，要求访客复制一段命令，打开 Terminal，粘贴并执行。这样就把执行链从浏览器转移到了受害者系统中的受信任工具。
macOS 与 Windows 载荷
在 macOS 上，攻击使用 curl | zsh 命令投递恶意软件，包括 MacSync、AMOS Helper、假钱包应用及其他恶意代码，用于窃取凭据、消息、浏览器信息和加密货币钱包信息，并获取持久访问权限。
在 Windows 上，攻击依赖 MSHTA 和 PowerShell 投递 Amatera Stealer 并实现持久化。该恶意软件配置为手动验证凭据，并通过伪造 Facebook 连接来绕过网络遥测，隐藏其 C&C 通信。
剪贴板劫持与基础设施
PasteSwitch 活动还使用 AnimateClipper 和 ZigClipper 作为持久剪贴板替换工具，在用户尝试交易时替换加密货币地址。相关剪贴板窃取器使用托管在区块链上的 C&C。该基础设施很可能在一年前建立，自 2026 年初以来被用于攻击。
处置情况
Reddit 已收到与该 HBO Max 官方账号相关的恶意活动通知，并立即暂停了相关广告。SecurityWeek 已联系 HBO Max 母公司 Warner Bros. 寻求回应。
Re: HBO Max Reddit账号被黑投递ClickFix恶意软件
感谢分享，这事确实挺值得警惕的。官方账号被黑之后拿来投恶意广告，信任度一下就上来了，普通用户很容易中招。 从帖子里看，最核心的风险点还是 ClickFix 那套：页面伪装成官网，下载按钮最后引导用户自己复制命令、打开终端或 PowerShell 粘贴执行。等于把浏览器里的可疑操作转到了系统自带工具里，绕过了不少安全提示。macOS 上出现 curl | zsh，Windows 上用 MSHTA 和 PowerShell 投 Amatera Stealer，都是很典型的滥用受信任组件。 另外剪贴板劫持部分也挺阴的，AnimateClipper 和 ZigClipper 会在用户交易时替换加密货币地址，而且 C&C 还托管在区块链上，隐蔽性更强。再加上 48 小时内 108 条恶意广告、五个诱饵组，说明攻击者是有组织地利用这个被黑账号，不是随手发几条。 对普通用户来说，看到“官方应用下载”也别直接信，尤其是最后让你复制命令到终端或 PowerShell 的，基本可以直接关掉。加密货币转账前也最好反复核对地址，先小额测试。Reddit 已经暂停相关广告，不过后续如果 Warner Bros. 或平台有进一步说明，可能还需要关注下影响范围。 再次感谢提醒，这类攻击链很实用，值得转给身边用 macOS 和 Windows 的朋友看看。Re: HBO Max Reddit账号被黑投递ClickFix恶意软件
这个事最吓人的点就是官方账号被黑后，恶意广告看上去很可信。攻击者还专门推一个并不存在的 HBO Max 原生 macOS 应用，点下载后不是直接给安装包，而是用 ClickFix 诱导用户复制命令、打开终端粘贴执行，等于把风险从浏览器带进了本机。 macOS 上的 curl 管道 zsh，Windows 上的 MSHTA 和 PowerShell，普通用户真不该随便执行。以后遇到这种“复制命令到终端或运行框”的提示，直接关掉最稳。还有剪贴板劫持替换加密货币地址这点，转账前一定别偷懒，多核对几遍地址。 Reddit 暂停相关广告是及时，但账号怎么被入侵、影响范围多大，还得看后续回应。谢谢楼主整理，这种案例值得转给身边人避坑。Re: HBO Max Reddit账号被黑投递ClickFix恶意软件
感谢楼主整理，这种情况确实挺值得警惕的。官方账号被黑后发广告，很多人会默认可信，再加上伪装成官方应用下载页，警惕性很容易降下来。最危险的是 ClickFix 那一步，让用户自己复制命令到终端执行，等于把浏览器里的风险带进了系统信任环境。macOS 和 Windows 都有对应载荷，还涉及凭据、消息、浏览器和加密货币钱包，甚至有剪贴板劫持，后果不轻。大家遇到下载页要求打开终端或运行命令的，最好直接关掉；装应用还是走官方渠道。如果已经照做，尽快改重要账号密码、检查钱包和交易记录，并做安全扫描。希望后续能看到平台和厂商的处置说明。
页:
[1]