La cuenta verificada de HBO Max en Reddit pasó dos días anunciando malware

Durante unos dos días de la semana pasada, los anuncios que aparecían en Reddit venían de la cuenta verificada de HBO Max. HBO Max no tenía nada que ver.

Alguien se apoderó de u/hbomax y coló por ella 108 anuncios antes de que los administradores de Reddit se dieran cuenta y cerraran el grifo. Apuntaban a un pequeño establo de dominios clonados registrados para la ocasión: 40 llevaban a hbomaxx[.]app, 36 a un sitio falso de herramientas de IA y desarrollo llamado codex-craft[.]com, 15 a apple.clean-disk-guide[.]com y el resto a code-desktop[.]com y hbomax-macos[.]com. Los investigadores de Hudson Rock y ADAMnetworks vincularon el conjunto a una campaña que han bautizado PasteSwitch.

Lo que espera al otro extremo es la parte que conviene memorizar, porque sigue funcionando con la gente. Ninguna de esas páginas le ofrece un archivo para descargar. Muestran un error, un paso de verificación o una instrucción de instalación, y le dicen que abra PowerShell en Windows o Terminal en un Mac y pegue una línea de texto. Esa línea hace todo lo demás. En Windows la carga era Amatera, un ladrón de información que corre en memoria y va directo a las contraseñas guardadas en el navegador. En Mac eran MacSync y AMOS, junto con carteras de criptomonedas falsas a la caza de frases de recuperación y secuestradores del portapapeles que cambian una dirección de cartera en la fracción de segundo en que usted la pega.

La regla que se deduce no admite excepciones. Ninguna empresa legítima le pedirá jamás que copie un comando en PowerShell para ver un vídeo, instalar una aplicación o demostrar que es humano. Ni Microsoft, ni HBO, ni su banco. La insignia de verificación de la cuenta que publica el anuncio no significa nada, como demostró esta semana. Si cree que ya lo hizo, la comprobación de seguridad de Tendvane enumera lo que se ha instalado en el equipo y lo que se ha configurado para arrancar con Windows, que es donde suele estar la respuesta.