Tài khoản Reddit chính thức của HBO Max bị hack để phát tán quảng cáo lừa đảo nhắm vào người dùng Mac

Theo tin từ IT ngày 20 tháng 9, trang tin nước ngoài borncity đưa tin rằng gần đây các hacker đã xâm nhập tài khoản Reddit chính thức của HBO Max và lợi dụng tài khoản này để thực hiện một chiến dịch lừa đảo ClickFix nhắm vào người dùng Mac kéo dài khoảng 48 giờ.

Thông tin công khai cho thấy, HBO Max là dịch vụ video theo yêu cầu thuộc sở hữu của Warner Bros., chính thức ra mắt tại thị trường Đức từ ngày 13 tháng 1 năm 2026, cung cấp các bộ phim truyền hình, phim điện ảnh và nội dung do Warner Bros. tự sản xuất. Tuy nhiên, trên thực tế, các tài khoản chính thức của những dịch vụ này thường do các công ty vận hành thuê ngoài quản lý.

Truyền thông nước ngoài cho biết, sau khi kiểm soát tài khoản Reddit chính thức của HBO Max, những kẻ tấn công đã đăng tải hàng loạt quảng cáo độc hại trên Reddit. Một trong số đó dẫn người dùng đến một trang web giả mạo HBO Max cực kỳ tinh vi. Nút tải xuống trên trang này không trực tiếp tải tệp về máy, mà yêu cầu người dùng sao chép một lệnh độc hại và dán thủ công vào Terminal của macOS để thực thi.

Trên thực tế, phương thức tấn công này là một biến thể của tấn công ClickFix, bằng cách ngụy trang thành các thông báo thao tác thông thường để dụ dỗ người dùng thực thi lệnh, từ đó vượt qua một số biện pháp bảo mật truyền thống. Do người dùng phải chủ động sao chép và chạy lệnh, nên để cuộc tấn công thành công, kẻ gian cần người dùng thực hiện thêm các thao tác bổ sung.

Một người dùng Reddit sau đó đã báo cáo các quảng cáo liên quan trên chuyên mục r/cybersecurity và công khai ảnh chụp màn hình. Sau khi phát hiện, quản trị viên Reddit đã chặn các quảng cáo do tài khoản HBO Max đăng tải và tiến hành điều tra. Trước khi bị chặn, tài khoản này đã đăng tổng cộng 108 quảng cáo, trong đó chưa đến một nửa sử dụng HBO Max làm mồi nhử, 47 quảng cáo khác quảng bá công cụ lập trình AI cho các nhà phát triển và 15 quảng cáo còn lại quảng cáo cho các công cụ dọn dẹp ổ đĩa macOS.

Các nhà nghiên cứu từ công ty bảo mật Hudson Rock và ADAMnetworks đã truy vết sâu hơn các lệnh mà quảng cáo dụ dỗ người dùng thực thi, phát hiện chúng dẫn đến một hệ thống phân phối mã độc Trojan có tên là "PasteSwitch". Hệ thống này sẽ chọn các payload độc hại khác nhau dựa trên thiết bị của người truy cập và các điều kiện khác, từ đó phân phối phần mềm độc hại tương ứng đến các mục tiêu khác nhau.

Cụ thể, các payload liên quan đến cuộc tấn công này chủ yếu nhắm vào macOS của Apple. Hacker đã phân phối các Trojan có khả năng đánh cắp thông tin đăng nhập trình duyệt, ghi chú, thông tin trong ứng dụng mật khẩu, cũng như các ứng dụng giả mạo ví tiền điện tử như Ledger, Trezor và Exodus.

Sự việc lần này một lần nữa cho thấy các cuộc tấn công dạng ClickFix không nhất thiết phải dựa vào việc tải xuống tệp độc hại truyền thống, mà thông qua việc giả mạo mã xác thực, thông báo cập nhật hoặc hướng dẫn thao tác trên web để khiến người dùng tự thực thi các lệnh có vẻ bình thường. Ngay cả khi quảng cáo và trang web được dàn dựng rất chân thực, người dùng cũng không nên sao chép các lệnh từ trang web lạ vào Terminal của hệ thống để thực thi khi chưa xác minh nguồn gốc.