Ataque ‘ClickFix’ secuestra cuenta oficial de HBO Max en Reddit; logra que usuarios se hackeen a sí mismos

Un ataque de ClickFix, un método de ciberataque basado en ingeniería social, utilizó anuncios en Reddit para intentar que los usuarios ejecuten directamente código malicioso en su propio ordenador al seguir las instrucciones de una página web que simulaba la de HBO Max, como una de las piezas de una operación mayor llamada ‘PasteSwitch’.

Los investigadores de la firma de seguridad HudsonRock han descubierto una campaña de ClickFix que utilizó anuncios falsos en la red social que enlazaban a una página que imitaba a la de HBO Max, pero que contenía el engaño de ingeniería social, que busca que los propios usuarios se ‘hackeen’ a sí mismos.

El ataque se basa en engatusar al usuario para que haga clic y, a continuación, siga las instrucciones que aparecen en pantalla para copiar un código y pegarlo finalmente en la ventana de ‘Símbolo del sistema’ o ‘PowerShell’ de Windows, o en la ‘app’ Terminal de Mac.

Es decir, que el usuario acaba abriendo las ‘apps’ de sistema de sendos sistemas operativos y pega un código que descarga e instala automáticamente un ‘malware’ de robo de información que es capaz de sustraer contraseñas, sesiones iniciadas y carteras de criptomonedas. Al tratarse de un código que el propio usuario instala con una ‘app’ del sistema, muchos de estos ataques eluden los antivirus y las medidas de seguridad.

Además, el ‘malware’ que se instala cambia según el sistema operativo desde el que opera el usuario. En macOS se instalan ‘infostealers’ y carteras falsas para robar frases de recuperación, mientras que en Windows se usa otra cadena; también hay ‘clippers’, un método que sustituye direcciones de criptomonedas en el portapapeles.

Este ataque basa su efectividad en los usuarios que están distraídos, con prisa, bajo estrés o confiados. Para llamar su atención y engañarlos, los ciberdelincuentes comprometieron la cuenta oficial de HBO Max en Reddit para publicar 108 anuncios falsos en unas 48 horas.

De esta forma, se aprovecharon de la «confianza» que transmite la plataforma de ‘streaming’ para que el usuario bajara la guardia ante las posibles señales de ‘phishing’ y, al descubrir que el anuncio promocionaba una supuesta ‘app’ nativa de HBO Max para macOS con tres meses gratuitos, la curiosidad le incitara pulsar el enlace.

Es más, la cuenta secuestrada también difundió anuncios de otras herramientas de Inteligencia Artificial (IA) y limpiadores de disco. Esto significa que HBO Max fue una pieza de una operación mayor a la que los investigadores han llamado ‘PasteSwitch’.

Por el momento, se desconoce cuántos usuarios pudieron llegar a hacer clic en esos anuncios o cuántos se vieron comprometidos. Warner Bros. Discovery –propietaria de HBO– no ha respondido a las preguntas de TechCrunch al respecto. Por su parte, Reddit confirmó al medio tecnológico que «recientemente descubrió que una cuenta de HBO Max autorizada para publicar anuncios en Reddit fue usada para difundir contenido publicitario que contenía enlaces maliciosos», y bloqueó a continuación la cuenta y retiró los anuncios.