HBO Max-account gehackt voor verspreiding cryptomalware via Reddit

Hackers hebben het geverifieerde Reddit-account van HBO Max overgenomen en plaatsten ruim 100 schadelijke advertenties. De criminelen gebruikten de fake advertenties om malware te verspreiden die gericht is op het stelen van wachtwoorden en cryptovaluta-portefeuilles.

Hoe de aanval werkte

De advertenties promoten een nepversie van een HBO Max-applicatie voor Mac. In plaats van een installer boden zij bezoekers instructies aan om commando's in Terminal of PowerShell in te voeren. Deze zogenoemde ClickFix-techniek verbergt schadelijke code achter schijnbaar normale installatie- of foutopsporingsstappen. Door de geverifieerde status van het HBO Max-account leek de instructie betrouwbaar.

Gestolen gegevens en malware

Op Mac-apparaten installeerde de malware onder meer MacSync en Atomic macOS (AMOS) – beide gereedschappen voor diefstal van gevoelige informatie. De aanvallers zochten naar browsergegevens, inloggegevens, Telegram-berichten, Apple Notes en cruciale cryptovaluta-herstelfrases. Die herstelfrases geven criminelen directe controle over cryptocurrency-portefeuilles.

De operatie, gedoopt 'PasteSwitch', maakte ook gebruik van crypto-clipboard-hijackers. Deze vervangen gekopieerde portefeuilleadressen door adressen van de hackers. Slachtoffers die het adres niet controleren, sturen hun geld naar criminelen.

Onderzoek geopend

Reddit heeft de advertenties stopgezet en een veiligheidsonderzoek gestart na meldingen. Het is onduidelijk hoe het account werd overgenomen en hoeveel gebruikers besmet raakten. Er is geen bewijs van een inbreuk op HBO Max' streamingdienst zelf, alleen van het Reddit-account.