HBO Max Reddit账号被黑投递ClickFix恶意软件

资讯专家

事件概述
黑客入侵 HBO Max 在 Reddit 的官方账号 u/hbomax，并利用该账号发起恶意广告活动，最终将 macOS 和 Windows 用户引向 ClickFix 页面。该活动被跟踪为 PasteSwitch。在约 48 小时窗口内，攻击者推送了 108 条恶意广告，分为五个诱饵组。

攻击链
攻击者借助已认证的 u/hbomax 账号，推广一个并不存在的 HBO Max 原生 macOS 应用。用户点击恶意广告后，会进入 hbomaxx[.]us；该页面模仿 HBO Max 官网，并带有下载按钮。下载按钮会打开 ClickFix 提示，要求访客复制一段命令，打开 Terminal，粘贴并执行。这样就把执行链从浏览器转移到了受害者系统中的受信任工具。

macOS 与 Windows 载荷
在 macOS 上，攻击使用 curl | zsh 命令投递恶意软件，包括 MacSync、AMOS Helper、假钱包应用及其他恶意代码，用于窃取凭据、消息、浏览器信息和加密货币钱包信息，并获取持久访问权限。
在 Windows 上，攻击依赖 MSHTA 和 PowerShell 投递 Amatera Stealer 并实现持久化。该恶意软件配置为手动验证凭据，并通过伪造 Facebook 连接来绕过网络遥测，隐藏其 C&C 通信。

剪贴板劫持与基础设施
PasteSwitch 活动还使用 AnimateClipper 和 ZigClipper 作为持久剪贴板替换工具，在用户尝试交易时替换加密货币地址。相关剪贴板窃取器使用托管在区块链上的 C&C。该基础设施很可能在一年前建立，自 2026 年初以来被用于攻击。

处置情况
Reddit 已收到与该 HBO Max 官方账号相关的恶意活动通知，并立即暂停了相关广告。SecurityWeek 已联系 HBO Max 母公司 Warner Bros. 寻求回应。