Zweryfikowane konto HBO Max na Reddicie przez dwa dni reklamowało złośliwe oprogramowanie

Przez jakieś dwa dni w zeszłym tygodniu reklamy na Reddicie przychodziły ze zweryfikowanego konta HBO Max. HBO Max nie miało z nimi nic wspólnego.

Ktoś przejął u/hbomax i przepuścił przez nie 108 reklam, zanim administratorzy Reddita zauważyli i zakręcili kurek. Prowadziły do niewielkiej stajni podrobionych domen zarejestrowanych na tę okazję: 40 wysyłało ludzi na hbomaxx[.]app, 36 na fałszywą stronę z narzędziami do sztucznej inteligencji i programowania o nazwie codex-craft[.]com, 15 na apple.clean-disk-guide[.]com, a reszta na code-desktop[.]com i hbomax-macos[.]com. Badacze z Hudson Rock i ADAMnetworks powiązali całość z kampanią, którą ochrzcili PasteSwitch.

To, co czeka na drugim końcu, warto zapamiętać, bo wciąż działa na ludzi. Żadna z tych stron nie podsuwa pliku do pobrania. Pokazują błąd, krok weryfikacji albo instrukcję instalacji i każą otworzyć PowerShell na Windowsie lub Terminal na Macu i wkleić tam jedną linijkę tekstu. Ta linijka robi całą resztę. Na Windowsie ładunkiem była Amatera, złodziej danych działający w pamięci i idący prosto po hasła zapisane w przeglądarce. Na Macach były to MacSync i AMOS, a obok nich fałszywe portfele kryptowalutowe łowiące frazy odzyskiwania i porywacze schowka, które podmieniają adres portfela w ułamku sekundy, gdy go wklejacie.

Reguła, która z tego wynika, nie ma wyjątków. Żadna uczciwa firma nigdy nie poprosi was o skopiowanie polecenia do PowerShella, żeby obejrzeć film, zainstalować aplikację albo udowodnić, że jesteście ludźmi. Ani Microsoft, ani HBO, ani wasz bank. Znaczek weryfikacji przy koncie publikującym reklamę nic nie znaczy, co ten tydzień pokazał. Jeśli podejrzewacie, że już to zrobiliście, kontrola bezpieczeństwa w Tendvane wypisuje, co zainstalowało się na komputerze i co zostało ustawione tak, żeby startować razem z Windowsem, a tam zwykle leży odpowiedź.