In questo articolo Indice dei contenuti 3 sezioni
L’account ufficiale di HBO Max su Reddit è finito nelle mani di malintenzionati, che lo hanno sfruttato per pubblicare inserzioni con link pericolosi capaci di installare malware sia su Mac che su PC Windows. Una vicenda che, per dinamica e tempistiche, racconta bene quanto sia diventato semplice sfruttare la credibilità di un marchio noto per convincere le persone a fare, con le proprie mani, esattamente ciò che serve agli attaccanti.
Il profilo coinvolto è u/hbomax, quello realmente utilizzato dal servizio di streaming sulla piattaforma. Secondo la ricostruzione dei ricercatori di Hudson Rock, arrivata dopo alcune segnalazioni comparse proprio su Reddit, il controllo dell’account sarebbe rimasto in mano ai criminali per circa 48 ore. Un tempo tutt’altro che breve, durante il quale sono stati diffusi 108 diversi annunci malevoli. Reddit ha poi confermato che un account HBO Max autorizzato alla pubblicazione di inserzioni era stato compromesso e usato per veicolare collegamenti dannosi, procedendo al blocco del profilo e alla rimozione degli annunci.
Come funzionava la trappola dietro i falsi annunci
Uno degli annunci pubblicizzava una presunta applicazione HBO Max per macOS. Cliccando sul collegamento si finiva su una pagina costruita per somigliare al sito ufficiale del servizio di streaming, curata abbastanza da non destare sospetti immediati. Da lì partiva la parte più delicata dell’operazione.
Il meccanismo adottato è quello della campagna ClickFix, una tecnica di social engineering che negli ultimi mesi si è diffusa parecchio. Funziona così: alla vittima viene mostrata una falsa verifica, spesso somigliante a un CAPTCHA o a un controllo anti bot, con la richiesta di copiare e incollare un comando. Su macOS il comando va inserito nel Terminale, su Windows nel Prompt dei comandi o in PowerShell. A quel punto è la persona stessa ad avviare l’installazione del software malevolo, senza che nessun sistema di sicurezza venga realmente aggirato. Il consenso, in pratica, viene concesso volontariamente.
Una volta in esecuzione, il malware può tentare di sottrarre password, sessioni di autenticazione già attive, dati salvati nel browser e informazioni legate ai wallet di criptovalute. Un bottino piuttosto ricco, soprattutto considerando che le sessioni rubate permettono in molti casi di entrare negli account senza dover superare l’autenticazione a due fattori.
Quante persone sono state colpite e cosa significa davvero
Non ci sono numeri sul quantitativo di utenti che hanno aperto gli annunci né su quanti siano stati effettivamente compromessi. Vale però una precisazione importante: aver visto o anche cliccato una di quelle inserzioni non equivale automaticamente a essere stati infettati. Per completare l’attacco era necessario seguire le istruzioni mostrate dalla pagina fasulla ed eseguire manualmente il comando richiesto. Chi si è fermato prima, magari insospettito dalla richiesta bizzarra di aprire il Terminale per guardare una serie tv, non ha subito conseguenze.
Resta il fatto che il vettore usato era tra i più efficaci possibili. Un annuncio pubblicato da un account verificato, riconoscibile, associato a un servizio usato da milioni di persone, abbassa naturalmente le difese di chi legge. Nessun dominio strano, nessun messaggio scritto male, nessuno dei segnali classici che di solito fanno scattare l’allarme.
Il segnale da tenere a mente
La regola pratica che emerge da questa vicenda è semplice: nessun servizio legittimo, HBO Max compreso, chiede di incollare comandi nel Terminale o in PowerShell per verificare di non essere un robot. Quella richiesta, da sola, è sufficiente a identificare un tentativo di attacco ClickFix, indipendentemente da quanto sia convincente la pagina che la mostra o da quale account abbia pubblicato il link. La compromissione dell’account pubblicitario su Reddit è stata risolta con il blocco del profilo e la rimozione delle 108 inserzioni, ma il periodo di esposizione di due giorni ha lasciato spazio più che sufficiente perché la campagna raggiungesse un pubblico ampio prima dell’intervento della piattaforma.
