A conta oficial da HBO Max no Reddit foi invadida por criminosos e passou a ser utilizada para divulgar anúncios falsos com links que distribuíam malware. O ataque chamou atenção porque os criminosos exploraram justamente um dos elementos que normalmente ajudam usuários a identificar perfis confiáveis: a conta utilizada era verificada e reconhecida como oficial da plataforma.
De acordo com pesquisadores de segurança, os invasores utilizaram o perfil u/hbomax para publicar 108 anúncios maliciosos ao longo de aproximadamente 48 horas. As campanhas tinham como alvo computadores com Windows e macOS e distribuíam diferentes tipos de ameaças, incluindo ladrões de informações, programas capazes de roubar criptomoedas e aplicativos falsos.
O caso mostra uma evolução importante nos golpes digitais. Em vez de simplesmente criar uma conta falsa para tentar enganar vítimas, os criminosos conseguiram assumir o controle de uma identidade legítima e utilizá-la para dar aparência de autenticidade às propagandas.
Golpe usava falso aplicativo da HBO Max
A campanha foi descoberta depois que um usuário do Reddit identificou uma propaganda publicada pelo perfil oficial da HBO Max. O anúncio promovia aquilo que parecia ser um aplicativo nativo da plataforma para macOS.
O problema é que o aplicativo divulgado não era oficial.
Ao clicar na publicidade, a vítima era direcionada para uma página falsa que imitava a identidade visual da HBO Max. Entre os domínios utilizados estava um endereço criado para parecer relacionado ao serviço de streaming. Na página, em vez de encontrar um instalador convencional, o usuário era orientado a seguir instruções para executar um comando no Terminal do macOS.
É justamente nesse momento que entra em ação a técnica ClickFix.
O método ganhou espaço entre grupos criminosos porque transfere parte importante da execução do ataque para a própria vítima. Em vez de depender de um arquivo executável baixado automaticamente pelo navegador, o golpe convence a pessoa a copiar e colar um comando no sistema.
A página pode apresentar uma mensagem falsa de erro, uma suposta verificação CAPTCHA ou uma instrução dizendo que determinado procedimento é necessário para concluir o download. Para quem não conhece os riscos, a operação pode parecer apenas uma etapa técnica necessária para instalar um programa.
Na realidade, o comando pode iniciar o download e a execução do malware.
Técnica também mira usuários de Windows
O problema não ficou restrito aos computadores da Apple. Pesquisadores identificaram diferentes caminhos de ataque dependendo do sistema operacional utilizado pela vítima.
No macOS, a campanha utilizou comandos executados pelo Terminal para baixar e iniciar componentes maliciosos. Entre as ameaças observadas estão variantes associadas ao MacSync e ao Atomic macOS Stealer (AMOS).
Esses programas podem procurar informações armazenadas no computador, incluindo credenciais salvas em navegadores, perfis de navegadores, dados de aplicativos de mensagens, anotações e senhas do sistema. Em outras partes da campanha, criminosos também utilizaram aplicativos falsos relacionados a carteiras de criptomoedas, com o objetivo de roubar frases de recuperação usadas para recuperar os ativos digitais.
Em computadores com Windows, os ataques seguiram uma estratégia diferente, envolvendo ferramentas como PowerShell e mshta. Segundo os pesquisadores, determinadas cadeias de infecção também tentavam criar mecanismos de persistência e reduzir a capacidade de ferramentas de segurança de identificar a atividade.
Uma das ameaças observadas foi o Amatera Stealer, um malware especializado em roubo de informações. Em determinados cenários, o código malicioso pode ser carregado diretamente na memória, dificultando a identificação por mecanismos que dependem principalmente da existência de arquivos suspeitos armazenados no disco.
Ataque fazia parte de uma campanha maior
O comprometimento da conta da HBO Max não foi um caso isolado. A investigação realizada pelas empresas Hudson Rock e ADAMnetworks relacionou os anúncios à operação denominada PasteSwitch.
O nome faz referência à principal estratégia utilizada pelos criminosos: induzir o usuário a copiar e colar comandos fornecidos pelos próprios atacantes.
A infraestrutura da campanha pode alterar o conteúdo apresentado de acordo com características da vítima, incluindo sistema operacional e tipo de usuário. Dessa forma, a mesma operação criminosa consegue direcionar diferentes malwares para públicos distintos.
Os pesquisadores identificaram 108 anúncios publicados a partir da conta comprometida. Cerca de 40 direcionavam usuários para uma página relacionada à falsa HBO Max, enquanto outros promoviam ferramentas voltadas para desenvolvedores, programas de inteligência artificial e supostos utilitários para computadores da Apple.
Foram identificados, por exemplo, 36 anúncios relacionados a uma falsa ferramenta para desenvolvedores, 15 associados a um suposto programa de limpeza para macOS, 11 utilizando outra temática relacionada a software de programação e seis anúncios ligados a diferentes versões do falso aplicativo da HBO Max.
Isso demonstra que os criminosos não estavam interessados apenas em pessoas que procuravam a HBO Max. A conta comprometida serviu como uma espécie de canal de distribuição para atingir diferentes grupos de usuários.
Por que uma conta verificada torna o golpe mais perigoso?
A principal vantagem obtida pelos criminosos foi a confiança.
Um anúncio publicado por uma conta desconhecida tende a despertar desconfiança. Já uma propaganda associada ao perfil oficial de uma grande empresa pode parecer legítima mesmo para usuários mais cuidadosos.
Nesse caso, o selo de verificação e o histórico da conta ajudaram a criar uma aparência de autenticidade. O criminoso não precisava convencer a vítima de que a HBO Max existia ou que a empresa era legítima. Bastava utilizar uma identidade que já possuía credibilidade.
Esse tipo de ataque representa um problema crescente nas redes sociais, plataformas de publicidade e serviços de comunicação. Uma conta comprometida pode ser utilizada para atingir um número muito maior de pessoas do que uma campanha baseada em perfis falsos criados do zero.
Além disso, anúncios patrocinados podem alcançar usuários que sequer estavam procurando informações sobre segurança ou sobre a HBO Max.
Reddit interrompeu os anúncios
Depois que o conteúdo malicioso foi identificado e denunciado, administradores do Reddit interromperam a campanha e encaminharam o caso para as equipes responsáveis por segurança e proteção da plataforma.
Ainda não está claro como os criminosos conseguiram obter acesso à conta da HBO Max ou se outros perfis e sistemas ligados à HBO ou à Warner Bros. Discovery também foram afetados.
Até o momento, também não foram divulgados números oficiais sobre quantas pessoas efetivamente executaram os comandos maliciosos ou tiveram seus computadores infectados.
A HBO e a Warner Bros. Discovery foram procuradas para comentar o incidente, mas não haviam respondido às solicitações divulgadas pelos pesquisadores no momento da publicação das informações sobre o ataque.
Como se proteger de golpes desse tipo?
O caso reforça uma regra importante: uma conta verificada não significa que todos os conteúdos publicados nela sejam necessariamente seguros, principalmente quando existe a possibilidade de comprometimento da conta.
Também é fundamental desconfiar de páginas que solicitam a abertura do Terminal, PowerShell, Prompt de Comando ou da ferramenta Executar do Windows para concluir um download.
Uma página de download que pede para o usuário copiar um comando e executá-lo manualmente deve ser tratada com muita cautela. O mesmo vale para instruções apresentadas como supostas verificações de segurança, CAPTCHA ou correções de erros.
Usuários também devem evitar instalar aplicativos encontrados em anúncios aleatórios. Quando uma empresa disponibiliza um programa oficial, o ideal é procurar diretamente o site ou a loja oficial da plataforma, em vez de utilizar o botão de download apresentado em uma publicidade.
No caso de serviços conhecidos como a HBO Max, essa precaução é ainda mais importante. Um aplicativo legítimo não precisa ser instalado a partir de um domínio desconhecido apenas porque uma propaganda afirma que ele é oficial.
O ataque contra a conta da HBO Max mostra como os criminosos estão combinando roubo de contas, publicidade maliciosa e engenharia social para tornar golpes cada vez mais convincentes. A tecnologia utilizada para infectar o computador pode ser sofisticada, mas o ponto de entrada continua sendo o comportamento humano.
Ao convencer uma pessoa a confiar em uma conta conhecida e executar voluntariamente um comando perigoso, os criminosos conseguem transformar uma simples propaganda em uma porta de entrada para roubo de senhas, dados pessoais e até criptomoedas.
Por isso, a principal defesa continua sendo a combinação de atenção do usuário, sistemas atualizados, ferramentas de segurança e, principalmente, desconfiança diante de qualquer página que peça para executar comandos no computador para instalar um programa.
