HBO Max 官方 Reddit 账号遭黑客入侵，针对苹果 Mac 用户发起 ClickFix 钓鱼攻击

据IT之家9月20日消息，根据外媒borncity的报道，近期有黑客入侵了HBO Max的官方Reddit账号，并利用该账号对Mac用户发动了一场持续约48小时的ClickFix钓鱼攻击。

公开资料显示，HBO Max是华纳兄弟旗下的视频点播服务，于2026年1月13日正式在德国市场推出，提供电视剧、电影及华纳兄弟自制内容。然而，这些服务的官方账号通常由外包运营公司管理。

外媒指出，攻击者在控制HBO Max的官方Reddit账号后，在该平台上投放了大量恶意广告。其中一则广告将用户引导至一个高度仿冒的HBO Max页面。页面中的下载按钮并未直接提供文件下载，而是要求用户复制一条恶意命令，并手动粘贴到macOS终端中执行。

实际上，这种攻击方式是ClickFix攻击的一种变体，通过伪装成正常的操作提示来诱导用户执行命令，从而绕过部分传统安全防护措施。由于用户必须主动复制并运行命令，因此攻击的成功依赖于用户完成额外操作。

随后，一名Reddit用户在r/cybersecurity版块报告了相关广告，并公布了截图。Reddit管理员发现后封禁了HBO Max账号发布的这些广告，并展开了调查。在广告被封禁前，该账号共发布了108条广告，其中不到一半以HBO Max为诱饵，另有47条广告面向开发者推广AI编程工具，还有15条广告宣传macOS磁盘清理工具。

安全公司Hudson Rock和ADAMnetworks的研究人员进一步追踪了广告中诱导用户执行的命令，发现其最终指向一个名为“PasteSwitch”的恶意木马分发系统。该系统根据访问者的设备及其他条件选择不同的恶意载荷，从而向不同目标分发相应的恶意软件。

具体而言，此次攻击涉及的载荷主要针对苹果macOS，黑客分发了可用于获取浏览器登录凭据、备忘录、密码App内信息的木马，以及伪装成Ledger、Trezor和Exodus等加密货币钱包应用的山寨应用。

此次事件再次表明，ClickFix类攻击并不一定依赖传统的恶意文件下载，而是通过伪造验证码、更新提示或网页操作指引等方式，让用户自行执行看似正常的命令。即使广告和页面本身制作得较为逼真，用户也不应在不确认来源的情况下，将陌生网页提供的命令复制到系统终端中执行。