L'account Reddit verificato di HBO Max ha passato due giorni a pubblicizzare malware
Per circa due giorni la scorsa settimana, le inserzioni su Reddit arrivavano dall'account verificato di HBO Max. HBO Max non c'entrava nulla.
Qualcuno si è impossessato di u/hbomax e ci ha fatto passare 108 inserzioni prima che gli amministratori di Reddit se ne accorgessero e chiudessero il rubinetto. Puntavano a una piccola scuderia di domini sosia registrati per l'occasione: 40 mandavano a hbomaxx[.]app, 36 a un finto sito di strumenti per l'IA e lo sviluppo chiamato codex-craft[.]com, 15 a apple.clean-disk-guide[.]com e i restanti a code-desktop[.]com e hbomax-macos[.]com. I ricercatori di Hudson Rock e ADAMnetworks hanno ricondotto l'insieme a una campagna che hanno battezzato PasteSwitch.
Ciò che aspetta all'altro capo è la parte da imparare a memoria, perché continua a funzionare sulle persone. Nessuna di queste pagine vi porge un file da scaricare. Mostrano un errore, un passaggio di verifica o un'istruzione di installazione, e vi dicono di aprire PowerShell su Windows o Terminale su un Mac e di incollarci una riga di testo. Quella riga fa tutto il resto. Su Windows il carico era Amatera, un ladro di informazioni che gira in memoria e punta dritto alle password salvate nel browser. Sui Mac erano MacSync e AMOS, insieme a finti portafogli di criptovaluta a caccia di frasi di recupero e a dirottatori degli appunti che sostituiscono un indirizzo di portafoglio nella frazione di secondo in cui lo incollate.
La regola che ne discende non ammette eccezioni. Nessuna azienda legittima vi chiederà mai di copiare un comando in PowerShell per guardare un video, installare un'applicazione o dimostrare di essere umani. Né Microsoft, né HBO, né la vostra banca. La spunta di verifica sull'account che pubblica l'annuncio non significa nulla, come questa settimana ha dimostrato. Se pensate di averlo già fatto, il controllo di sicurezza di Tendvane elenca ciò che si è installato sulla macchina e ciò che è stato impostato per avviarsi con Windows, che è di solito dove sta la risposta.