La cuenta oficial y verificada de HBO Max en Reddit fue comprometida por ciberdelincuentes y utilizada para distribuir anuncios maliciosos destinados a infectar ordenadores Windows y macOS con malware especializado en el robo de información.
Investigadores de Hudson Rock y ADAMnetworks analizaron la operación y determinaron que los atacantes consiguieron tomar el control de la cuenta u/hbomax. Desde ella lanzaron 108 anuncios maliciosos durante aproximadamente 48 horas, aprovechando la confianza que genera entre los usuarios una cuenta oficial y verificada.
Los anuncios recurrían a una técnica de ingeniería social conocida como ClickFix, que no instala directamente el malware. En su lugar, intenta convencer a la propia víctima para que copie y ejecute comandos maliciosos en herramientas legítimas del sistema operativo.
Una cuenta verificada para hacer más creíble la estafa
El uso de la cuenta oficial de HBO Max proporcionaba a los atacantes una ventaja importante. Los anuncios parecían proceder de una fuente legítima y algunos promocionaban precisamente una supuesta aplicación de la plataforma de streaming.
Sin embargo, no todos utilizaban HBO Max como señuelo. Los investigadores también localizaron anuncios que promocionaban falsas herramientas de inteligencia artificial, software para desarrolladores y utilidades para macOS.
La campaña salió a la luz después de que un usuario de Reddit detectara un anuncio publicado desde la cuenta verificada de HBO Max que promocionaba lo que aparentemente era una aplicación nativa del servicio para macOS.
El hecho de que el anuncio procediera de una cuenta verificada ayudaba a reforzar su apariencia de legitimidad.
Así funcionaba el ataque ClickFix
Después de pulsar sobre uno de los anuncios, las víctimas eran dirigidas a una página falsa diseñada para imitar a HBO Max. Uno de los dominios utilizados fue hbomaxx[.]us.
La web aseguraba ofrecer una aplicación de HBO Max para descargar. Pero al pulsar sobre el botón correspondiente, el usuario no recibía el supuesto programa.
En su lugar, aparecían instrucciones para abrir Terminal en macOS y pegar manualmente un comando que supuestamente permitiría instalar la aplicación.
Ese es precisamente el fundamento de ClickFix. La técnica engaña al usuario para que ejecute por sí mismo las órdenes proporcionadas por el atacante, normalmente utilizando herramientas legítimas como Windows Run, PowerShell o Terminal de macOS. Los señuelos pueden presentarse como una solución a un error, una comprobación CAPTCHA o la instalación de un programa legítimo.
De esta forma, los ciberdelincuentes no necesitan recurrir necesariamente a una descarga convencional de malware desde el navegador.
El usuario termina ejecutando el malware
Esta característica explica en parte por qué ClickFix se ha convertido en una técnica cada vez más utilizada.
La víctima ejecuta voluntariamente el comando malicioso mediante herramientas integradas en su propio sistema operativo. Este comportamiento puede ayudar a los atacantes a sortear determinadas protecciones del navegador y soluciones diseñadas para detectar descargas de malware.
Por ello, una petición para copiar comandos en PowerShell, Ejecutar de Windows o Terminal debe considerarse especialmente sospechosa cuando procede de una página web, incluso aunque aparentemente pertenezca a una empresa conocida.
En este caso, el peligro era mayor porque el punto de partida del ataque era un anuncio publicado por una cuenta oficial comprometida.
Los investigadores vinculan el incidente de HBO Max con una operación de mayor alcance denominada PasteSwitch, dirigida tanto contra dispositivos Windows como contra ordenadores macOS.
La campaña ha sido utilizada para distribuir diferentes tipos de amenazas, entre ellas infostealers, loaders, malware para sustituir direcciones de criptomonedas y falsas aplicaciones de monederos de criptomonedas.
El nombre PasteSwitch hace referencia precisamente al funcionamiento de la operación: los atacantes proporcionan comandos que las víctimas terminan pegando en sus propios sistemas, mientras que la infraestructura maliciosa puede cambiar de campaña, plataforma, carga útil o método de robo de criptomonedas dependiendo del visitante.
Esta flexibilidad permite adaptar el ataque al sistema operativo y al perfil de la víctima.
