LONDON (IT BOLTWISE) – Angreifer haben den offiziellen HBO-Max-Reddit-Account kompromittiert und damit ClickFix-Werbeanzeigen verteilt. Über 48 Stunden sollen laut Sicherheitsanalysen 108 bösartige Anzeigen geschaltet worden sein. Die Kampagne nutzte soziale Täuschung, bei der Opfer selbst Befehle in Windows oder macOS ausführen. Betroffen sind sowohl Browser-Daten als auch Wallet-Passphrasen, zusätzlich kommen Loader und Clipboard-Hijacker zum Einsatz.
Der Einstieg in die Kampagne wirkt auf den ersten Blick wie ein typischer „Drive-by“-Werbevorfall: Nutzer sehen in Reddit Anzeigen, die als Inhalte aus dem Umfeld eines Streaming-Dienstes wirken. Entscheidend ist jedoch, dass die Angreifer den offiziellen Account als Versandkanal zweckentfremdet haben, statt lediglich eine einzelne bösartige Seite zu posten. Sicherheitsanalysen von Hudson Rock und ADAMnetworks ordnen die Aktivität als ClickFix-Angriff ein, bei dem nicht primär ein Browser-Download die Schadsoftware startet, sondern die Opfer den eigentlichen Schaden durch das eigene Kopieren und Einfügen von Kommandos auslösen.
Technisch basiert ClickFix auf einem besonders niedrigen Hürdenprofil: Die Werbung täuscht dabei eine Problemlösung oder Verifizierung vor und lenkt Nutzer in die Betriebssystem-Umgebung. Auf Windows werden die Opfer dabei typischerweise zu Befehlen über „Run“, PowerShell oder Terminal-Pendants gebracht, auf macOS in eine Terminal-Session. Der Grundgedanke ist klar: Wenn die Malware als „harmloses“ Kommando erscheint, das das System angeblich nur für eine Installation oder CAPTCHA-Prüfung benötigt, dann lassen sich Schutzmechanismen aushebeln, die vor allem auf das Erkennen typischer Download-Ketten im Browser optimiert sind. In der untersuchten Kampagne kamen zudem Anzeigenvarianten zum Einsatz, die sowohl den Streaming-Dienst nachahmten als auch thematisch in Richtung „Fake AI Tools“ und Entwickler-Software bzw. System-Utilities abdrifteten.
Die Analyse verknüpft die HBO-Max-Anzeigen mit einer größeren Operation namens PasteSwitch, die laut den Forschern über unterschiedliche Backend-Schalter jeweils passende Kommandos, Plattformen und Payload-Varianten ausliefert. Diese „Switch“-Logik ist nicht nur ein logistisches Detail, sondern beeinflusst, welche Tools ein Besucher am Ende tatsächlich ausführen soll. Beim macOS-Ablauf wurde beispielsweise ein Befehl beobachtet, der auf Base64-Mechanismen setzt, um die eigentliche Aktion zu verschleiern. Nach dem Decoding tauchte ein Curl-Aufruf auf, der ein Setup-Skript von einer Infrastrukturdomain nachlädt, wobei Hudson Rock diese Domain als Infrastruktur identifiziert, die im September bereits innerhalb der PasteSwitch-Operation für Malware-Delivery verwendet wurde. Daraus ergibt sich ein wichtiges Muster für Verteidiger: Auch wenn das sichtbare Werbeformat „nur“ eine Kopier-Anweisung liefert, bleibt die eigentliche Gefahr in der nächsten Stufe verborgen.
Beim Schadensbild unterscheiden die Analysten mehrere Bausteine. Für macOS nennen sie unter anderem MacSync, das gezielt Browser-Credentials und Nutzerdaten aus Profilen verarbeitet, inklusive Firefox-Profilen, Telegram-Daten, Apple Notes und macOS-Passwörtern. Zusätzlich wurde ein Angriffsketten-Element beschrieben, das als „AMOS helper“ persistente Zugriffe über ein Verzeichnis mit dem Namen „.com.apple.accountsd“ aufbaut und infizierte Systeme anschließend bei attacker-controlled Servern anmeldet, um weitere Aufgaben nachzuladen. Für Wallet-Nutzer relevant ist auch die Verteilung gefälschter Krypto-Wallet-Apps, etwa im Stil bekannter Hardware- oder Wallet-Ökosysteme, die auf das Abgreifen von Recovery-Phrasen zielen. Auf Windows-Seite setzen die Beobachtungen unter anderem auf mshta- und PowerShell-Abläufe, inklusive Techniken wie dem Erzeugen und Starten von 32-bit PowerShell-Prozessen, dem zeitweisen Abschalten des AMSI-Scans (Antimalware Scan Interface) und dem Aufbau victim-spezifischer Infrastruktur anhand von Computername und Benutzerkennung. Spätere Stufen arbeiten dann mit obfuskierten PowerShell-Kommandos und Shellcode, um die eigentliche Stealer-Logik direkt in den Speicher zu laden, statt den finalen Payload-Schritt zwingend auf die Platte zu schreiben.
Für die Einordnung im Marktkontext ist vor allem die Reichweite der Anzeigen auffällig. Die Sicherheitsforscher identifizierten insgesamt mehrere Bündel bösartiger Anzeigen, die nicht nur auf eine HBO-Max-Domain verweisen, sondern auch auf Portale, die wie Inhalte für KI-Tools oder Developer-Sites wirken, sowie auf System-Utility-Seiten. Damit konnten Angreifer Zielgruppen außerhalb klassischer Streaming-Nutzer erreichen – beispielsweise Menschen, die ohnehin nach „AI“-Tools oder nach macOS-„Disk“- und Wartungsroutinen suchen. Nachdem die schadhaften Anzeigen gemeldet wurden, pauste ein Reddit-Admin die Beiträge und leitete sie an Sicherheits- und Safety-Teams weiter. Unklar bleibt allerdings, wie genau der Account-Zugriff zustande kam und ob weitere Konten oder Systeme innerhalb des HBO-Umfelds ebenfalls kompromittiert waren. Genau an dieser Stelle wird deutlich, warum Verteidiger nicht nur auf die Malware selbst schauen sollten, sondern auch auf Account-Integrität, Werbekonten und die Kette von „verifizierter Absender wirkt vertrauenswürdig“ bis zur finalen Ausführung.
Praktisch heißt das für IT- und Security-Teams: ClickFix ist kein „Download-Problem“, sondern ein Social-Engineering-Problem, das sich in Betriebssystem-Interaktionen manifestiert. Unerlässlich ist deshalb eine Kombination aus Awareness-Mechanismen (z. B. Richtlinien, die Kopieren/Einfügen unbekannter Befehle in Terminal und PowerShell strikt untersagen), technischen Kontrollen (Execution-Policy, Logging von Script-/Terminal-Aktivitäten, Detektion typischer Curl- oder mshta-Verhaltensketten) und einer schnellen Incident-Response bei kompromittierten Social-Kanälen. Gerade weil die PasteSwitch-Operation offenbar Backend-Schalter nutzt, die je nach Zielsystem unterschiedliche Payloads nachladen, sollten Teams ihre Erkennung weniger an „eine“ Domain oder „ein“ Payload-Sample binden, sondern Verhaltensmuster priorisieren. Gleichzeitig lohnt es sich, die Werbeketten aus Sicht der Endgeräte zu testen: Welche Hinweise lösen Nutzer aus, wie wird die Befehlsausgabe verborgen, und wie schnell kann ein System verdächtige Kommandosequenzen blockieren, bevor Datenabfluss oder Persistenz einsetzt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "HBO-Max-Reddit-Account gehijackt: ClickFix-Malware via fake Ads" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "HBO-Max-Reddit-Account gehijackt: ClickFix-Malware via fake Ads" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »HBO-Max-Reddit-Account gehijackt: ClickFix-Malware via fake Ads« bei Google Deutschland suchen, bei Bing oder Google News!