Piratas informáticos sequestram conta Reddit do HBO Max para disseminar malware roubo de criptomoedas

Investigadores da firma Hudson Rock divulgaram esta segunda-feira um relatório sobre o sequestro da conta Reddit do HBO Max, vincando que o incidente faz parte de uma operação mais vasta voltada para obtenção de senhas e informações de carteiras de criptomoedas. Em vez de disponibilizar um instalador tradicional, o site comprometido instruía os visitantes a abrir a aplicação Terminal em computadores Mac, ou a executar comandos através do PowerShell em Windows, colando um comando que poderia infectar os respectivos aparelhos.

A técnica explorada, conhecida como ClickFix, disfarça instruções maliciosas como passos rotineiros para instalação de software, correção de erros ou verificação de identidade. O facto de a conta sequestrada pertencer a uma empresa reconhecida conferia credibilidade aparente a estas instruções fraudulentas. Os investigadores baptizaram a operação como "PasteSwitch", alertando que o sistema de distribuição parece adaptar-se tanto ao dispositivo do visitante como ao software sendo promovido.

Os payloads observados em computadores Mac incluíam MacSync e Atomic macOS (AMOS), ambos programas maliciosos concebidos para roubar informações sensíveis. Os objectivos incluíram credenciais de navegadores, dados do Telegram, notas do Apple Notes, palavras-passe guardadas e frases de recuperação de carteiras de criptomoedas. Conforme refere a Hudson Rock, o malware utiliza contratos na Binance Smart Chain como "dead drops" de controlo mutáveis, verificando periodicamente estes contratos para localizar o endereço mais recente do servidor de comando dos criminosos. Esta arquitectura permite aos atacantes actualizar o endereço sempre que trocam de servidor, garantindo que o malware consegue mantê-los contacto permanentemente.

A operação mais abrangente também foi ligada a programas clipboard hijackers, que substituem um endereço de carteira copiado pelo utilizador por um endereço controlado por criminosos. Uma vítima que cola o endereço falsificado sem verificação poderia transferir fundos para o destinatário errado. As frases de recuperação roubadas representam um risco distinto, permitindo aos atacantes assumir controlo total das carteiras associadas.

A técnica ClickFix surgiu em outras campanhas recentes direccionadas para utilizadores de criptomoedas. Em Agosto, investigadores identificaram cerca de duas mil sites WordPress comprometidos suportando uma operação de malware que utilizava falsas indicações de verificação e conseguia roubar informações de carteiras. A Decrypt relata ainda que investigadores da Microsoft descreveram uma campanha separada utilizando CAPTCHAs falsos para enganar utilizadores de Windows a executarem comandos maliciosos, com instruções obtidas através da BNB Chain.