Взлом официального аккаунта HBO Max в Reddit обернулся 108 вредоносными объявлениями за двое суток

Первым странное объявление заметил пользователь под ником Alex Cutts в разделе r/cybersecurity. Реклама от имени официального аккаунта HBO Max предлагала скачать настольное приложение сервиса для macOS. Такой программы не существует, хотя сама идея выглядела правдоподобно для тех, кто давно ждал полноценный клиент сервиса для компьютера. Ссылка вела на страницу, которая точно повторяла фирменный стиль: логотип, шрифты, оформление тарифов. Кнопка загрузки файл не отдавала. Вместо этого открывалось окно с готовой командой и просьбой вставить её в системный терминал, чтобы завершить установку. Пользователь отказался, но публикация быстро собрала отклики других посетителей платформы.

Проверка показала, что взлом аккаунта - лишь один эпизод более крупной операции, получившей имя PasteSwitch. Совместное исследование Hudson Rock и ADAMnetworks подтвердило: одну и ту же инфраструктуру используют для десятков сценариев доставки вредоносных программ. Название операции описывает ключевое действие. Человек вставляет предложенную команду, а система оценивает, какое у него устройство и из какой страны он заходит. После проверки ему выдают подходящую полезную нагрузку. Операция охватывает программы для кражи данных на macOS, загрузчики для Windows, маскировку сетевых соединений и подмену адресов криптовалютных кошельков. Служебные ключи, шаблоны адресов и порядок запросов повторяются от кампании к кампании, хотя домены и названия брендов меняются постоянно.

Масштаб рекламной кампании объясняет, зачем атакующим понадобился чужой проверенный аккаунт. Сорок объявлений рекламировали поддельные страницы HBO Max, тридцать шесть - инструменты для разработчиков и работы с искусственным интеллектом, пятнадцать - утилиты для очистки диска, одиннадцать - редакторы кода. Знак подтверждения снимал часть подозрений, которые обычно возникают при виде рекламы. Когда домен попадал в чёрные списки, злоумышленники быстро переключались на следующий и публиковали новую партию объявлений.

На macOS операция разворачивала несколько независимых цепочек. Сборщик данных MacSync собирал сведения из браузеров, мессенджеров и заметок, а также системное хранилище паролей, после чего отправлял архив на сервер злоумышленников. Другая цепочка закреплялась в системе под именем, похожим на служебный компонент Apple, и ждала новых заданий от сервера управления. Третья предлагала поддельные приложения криптовалютных кошельков Ledger, Trezor Suite и Exodus. Пользователя просили ввести фразу восстановления из 12 или 24 слов. Она уходила атакующим вместе с доступом ко всем средствам на счёте. Похожие сценарии ранее описывали Zscaler, Microsoft и RST Cloud, а независимые специалисты из Field Effect документировали сходные способы закрепления.

Для Windows готовили ветку под названием InstallFix. Человеку предлагали выполнить команду, которая загружала файл под видом медиафайла. Затем скрипт создавал отложенную задачу, отключал встроенные средства защиты Windows и запускал программу кражи данных прямо в оперативной памяти. На диск она не попадала, поэтому обычная проверка файлов ничего не находила. Соединение с сервером управления маскировалось под обращение к крупной социальной сети. Средства сетевого контроля видели безобидный трафик вместо передачи украденных паролей и токенов.

Третье направление - подмена содержимого буфера обмена. Программы AnimateClipper и ZigClipper следят за тем, что человек копирует, и подставляют свой адрес криптовалютного кошелька. Жертва переводит деньги, не замечая подмены. Адрес сервера управления здесь хранится в блокчейне: злоумышленники публикуют его в смарт-контракте (программе, работающей внутри распределённого реестра) и меняют по мере необходимости. С марта по июль 2026 года исследователи зафиксировали 36 таких замен. Заблокировать один домен бессмысленно, потому что программа сама получает новый.

Администрация Reddit вмешалась после жалоб сообщества. Объявления приостановили, а безопасность самого аккаунта взяла под контроль внутренняя служба. К этому моменту реклама уже двое суток работала с подтверждённой учётной записи, и часть пользователей успела выполнить предложенную команду. Точное число пострадавших публично не называют.

Практический вывод из этой истории простой и неприятный. Ни одна реклама, даже от имени известного бренда со знаком подтверждения, не даёт повода вставлять незнакомые команды в терминал. Программы для компьютеров Apple стоит скачивать из магазина приложений или с сайта разработчика, а не со страниц, чей адрес отличается от официального одной буквой. Владельцам криптовалютных кошельков полезно сверять адрес получателя не по содержимому буфера обмена, а по сохранённой записи или QR-коду. Для компаний важнее другое. Домены, названия брендов и оформление страниц атакующие меняют часто, а структура доставки остаётся прежней: тот же порядок вызовов, те же шаблоны адресов, тот же набор задач для заражённой машины. Эти повторяющиеся признаки и позволяют отслеживать PasteSwitch, когда очередная партия объявлений снова окажется в лентах пользователей.

IPv4

• 138.124.93.32
• 165.22.199.85
• 168.100.9.122
• 172.236.51.169
• 176.53.159.66
• 199.217.98.33
• 38.244.158.103
• 38.244.158.56
• 62.60.226.69
• 92.246.136.14

IPv4 Port Combination

• 164.90.161.147:80
• 45.94.47.204:80
• 77.91.65.13:443

Domain

• aforvm.com
• aidevmaster.com
• alfredaps.com
• applediag.com
• arkypc.com
• basequill9.com
• beaocnagent.com
• br.hugo-lapp.co
• bright-links.com
• broadwalkindia.com
• camaligsalvatrefoils.com
• canvas-35.com
• carlessclapped.com
• cehamilton.com
• cf.hugo-mapp.co
• chatgpt-safepage.com
• cim-kolea.com
• cladesktop.gitlab.io
• claude-tools.com
• claud-tips.com
• clean-disk-guide.com
• clean-disk-tools.com
• cli-desktop.com
• cli-guides.com
• cli-stack.com
• clveeragent.com
• cmux-lab.com
• code-desktop.com
• codex-craft.com
• codex-notes.com
• codex-paths.com
• congiagent.com
• cosimcagent.com
• crisp-paths.com
• cw.hugo-lapp.lat
• dau.hugo-mapp.co
• denverplumbingandwaterheater.com
• desktop-version.com
• dmt.unguidedfreewill.co
• dogtrainersgeorgia.com
• doh.hugo-mapp.co
• ed.hugo-lapp.lat
• ember-bridge.com
• en.hugo-mapp.co
• esp.hugo-mapp.co
• euquiz.space
• facebook.com
• fcp.unguidedfreewill.co
• fd.gstats-api-contact.cc
• fd.gstats-api-contd.cc
• fd.hugo-lapp.lat
• fd-api-irc.velqo7.co
• fd-api-irf.velqo7.co
• fd-api-iris.velqo7.co
• fd-api-irs.velqo7.co
• fd-api-rop.velqo7.co
• fd-api-zog.velqo7.co
• fern-plume.com
• filequanticore.com
• filesiriuscore.com
• flame-guard.cc
• flutelikelurkerunsinewy.com
• fr.hugo-mapp.co
• gatemaden.space
• getnova.top
• gigappyworld.com
• glowmedaesthetics.com
• glrack.com
• gogolfonline.com
• grove-12.com
• habar55.namebright.bike
• harbor-29.com
• hbomax-macos.com
• hbomaxx.app
• hbomaxx.us
• hbubagent.com
• heroestales.com
• hindustanagency.com
• homebrwmac-hub.com
• houstongaragedoorinstallers.com
• io.hugo-lapp.lat
• jup.unguidedfreewill.co
• kffd3.vexlatech.cc
• kffd3.vogueatelier.cc
• kr.hugo-lapp.co
• lakhov.com
• lalandscapelighting.com
• lb.propertyfind.cc
• leaf68.com
• loop-lumen.com
• macdeveloperhub.com
• macfixguide.com
• macstoragetips.com
• marbellaresales.com
• mgo.gstats-api-contact.cc
• microsoftupdater.info
• mpasvw.com
• muse-code-ide.com
• node-slate.com
• nova-desk.top
• nova-fix.top
• nova-hub.top
• nova-labs.top
• novastacktips.com
• nova-tools.top
• oakenfjrod.ru
• opendisplay.us
• ouilov.com
• paf.hugo-mapp.co
• papartybus.com
• perchframe15.com
• pf.hugo-mapp.co
• pine63.com
• pinescope11.com
• pkg.vogueatelier.cc
• press29.com
• pressureulcerlawyer.com
• pt.hugo-lapp.co
• rectangleap.com
• remotion-skills.com
• restoremental.com
• rudder-moss.com
• sdx.unguidedfreewill.co
• sgaaagent.com
• sic180.com
• smart.hugo-mapp.co
• sp1.gstats-api-coni.co
• sp13.gstats-api-coni.co
• sp13.gstats-api-cont.co
• sprieagent.com
• st.hugo-lapp.lat
• static.quorashift.cc
• storageprofiler.com
• td.hugo-lapp.lat
• thepullmanfolkestone.com
• tnt.unguidedfreewill.co
• trekmesh15.com
• umapla.com
• verse-18.com
• wantsellonline.com
• wdm.unguidedfreewill.co
• wdm.velqo7.co
• wdx.unguidedfreewill.co
• wdx.velqo7.co
• weaveridge7.com
• wix.velqo7.co
• wuess.com
• xn--b1ahgbfifq.gstats-api-cont.co
• xn--b1aluem3j.gstats-api-contd.cc
• xn--i-ctbr1afp.gstats-api-contd.cc

SHA256

• 008e04a7807f9ed59d77942b1d268e4a93bb82316346f48e5f5b663233db3fff
• 013e587247324cfa3005443d2b8036f9a434cafafa1d8a56a6f5637b3dd9d3c1
• 02ac1914fcb4efae0699571751acd700ef0a1933312cd37e72bb7f37bacf4776
• 06a3d3bdeb33411fba53eed53cf528f3b33fdf5c2a74921d5d98002cb5e2ba1b
• 06c74829d8eee3c47e17d01c41361d314f12277d899cc9dfa789fe767c03693e
• 0d58616c750fc8530a7e90eee18398ddedd08cc0f4908c863ab650673b9819dd
• 12f6fde9d8058292ad1fb869352eebd615aa59c526a481a39fb52aa59e368d0d
• 131a071301006dbed8dbf4d2e08b2914407b7693ab23566bdfee9f39f157aab4
• 18c8b79ce68060782e52445a9f38c57e4b6e3f09f625b0465e0a9576e51a7505
• 1ba14ee44de95a3e6dcb9866cd00015dbf37f078a74362a827b21c8b2ec48a1a
• 23bec473632af324b0a271f6b0575ea3d3174af7042ee5d582cb739714a35af8
• 249088420058e50b5e7d1e615a6b9c212e1c341b43fbd8b60cde30d5bd281938
• 279d04c0cfd700c8bcb9acbed528131d3ffef8e25d12713e8649772739aecb92
• 2f04ba77bb841111036b979fc0dab7fcbae99749718ae1dd6fd348d4495b5f74
• 31cf473bb93abef0760d4992d45bafcd936edb7c26193c175f8491f8ffaef0e0
• 3276414afb3c7ce7aa19db5401051ce4ad6968a7cc6bf8384cd6470c92541a24
• 407aaecabee599cb29dbb3cf177ed77b67f65d63f456c7abeda5834c0d36ed5f
• 439f01ee546eabbdbcc02c0312cf3de28877ed8fcba80e46da88b76b02527a66
• 480c65e5bb793da2d5ddfdcf00dd37bd4c7176ea0fb58d4e6bd5c891795dc2f5
• 48cc0941b4129bfaeb6948de49dc7c81456e92907b3ea6bdcef5ff186dddf200
• 52385473e1a64ae5b7a3b79f145304e6b2c5db53e8883e6beede41821c08673f
• 5a9a3ce9ff74d7823737b184330134b25a4f36fc1d268789229f8de16832508c
• 5ae085cb918abaeb83b4819106534247cfd30f30c77cbcc7806fbf99e12234fb
• 5e8ad983129f6771d186f60379dca30d208374cac45bac75d5459aaf0fabc8ad
• 5ee86cbcd296e0998ca20ee65a7506fb3baecfb7ce98eede29bff1a6a6e0fc95
• 6705033c16d499d65b79f0f8f459a8ea214ae85aedffb3d25f68ba26e455f136
• 6759c72365d0c690db613ff30635970668f5699b65c3842ecdc4f1b695ed13a7
• 6d9ced8d62655d1a0ddc0d6b5359a10e921b4b2b3b1000dcf96b240f2fa79662
• 7a4c15c5f056322ceb9a16fd74374ec0e85aacbaeeb6042ff34b9c415e900864
• 825f0358da26a5cd85076be4586c4125ea5958235f3d9669ea3bf60c0edfc5b2
• 86d0c50cab4f394c58976c44d6d7b67a7dfbbb813fbcf622236e183d94fd944f
• 8c469b571875c6ba0009237379ba0a23b716db6d97724a81a7032a2e4b3456b6
• 8d88b558dc9edbc4fdb66eb2451fd5f4df49266921346d2db1191cf23f0d13dc
• 91b192d28380c77bda19a142c8979d03b3409ca819c07e6dabae0c73a2ab2360
• 93d986f39599df747e4f65484a41d5e5ae7ece345924ea36e4f4ee623ce2f0ae
• 97f9e987cbd9de6e853c1adcc7614a8d77d4216d63473e7a1f0f6356c5f0e771
• 9eb96fc1fda13b143a90896793754b6a61942dbf87846895bb9ea8c1e849cd96
• 9f26da2456f30b1e10c9aaee4fbf4cbab07912177366aca7fa1103be08a026ff
• a69fb9b56a10c8616e76b20a6900842737e16077796aa195b86b71407b8e79b9
• a90a93e9776852dac869d4097dba2a4741ef5d316a1ae8631329349287e6a411
• ac90360ac4d8c2eb2585daa867d085d2fb12b859bed6c3a472a738cd08e55383
• bc9165c426258d33799107d41a1e692504d7e69e02762475ab3b8cbcd19d5d40
• cf8d03a0de9e29e3f6a81606443cbf9df2167e95435f88ede747415d4b7e84ed
• d1690bec25ed5423e86a9ba1ce41ba8d0de91700e0b680291196dd9975a8a29c
• d4150c1c97f047c6edb14767bf1efa8f9e37d63b124f38f27da4ef52d570aac2
• d4cfab5e052df4c049f258e226d11825cb37b0359be454b83241edd59b295f08
• d4eb6e4cec1e69f3bc94bbe2d743e982863fc8549e49f832846c218e1aba3fcb
• d5a60dedf71308f5971269b7a63903e4b68992c392a0368f1dd03cb7e4bcefbc
• d72df956a51b1ec0af1e1d375a5704538d2e32688259c14aed39cf1e9d0d770a
• d95e123c2ed35a03b84558b8a3cd7b7e47a15914ed819ca2ce99afe32b5a0540
• dbe8f391291a66a509d5a0144ece8e61789657f96bac14f786293bb4d2ca21ac
• e6e54a8e8f30cedd8492f515ab95e005478bafb41998c43341fcf3a494573d6c
• ebb2a2f9f58d0908848399ffcb3a254e9171a8c14daeeae7fc042376372802f4
• ec9111b13bb21c1ce757db666b6df329724ec2ec493bcae1ba64b4ec2e93a331
• ecbbf5c7f1fac026dbaa74e8dac630730b4a49fbbb9fd59c333c48c28768ebfb
• ecfaa20f25e11878686249c7094706bc3dcd2dc0ace0f2932a39d1bfdac85863
• ede6ea506c6221f24618f8a7177f9c2f16b63968f0c34818c45d88f1d0dd03a7
• eec09815c3664aa6b3cd370a8b8f566be3b804949cfc514f145262136898b009
• f122d596ac6f5bb26ec69ab5fa68506da71d0f72bba5533c913dedd0314855e7
• f71d72711fe132f00d1a10d6f8c0f26c1544b41f57ca9262668dd2c771cc31f7
• f771f4717ed04f723b30f9e0424cc2f630f1ffe47857502edd27c3c40c609320
• f8d09bb7ef38015342fb8ae11c489fc1a3f01e743123e4222e9291cb474fb75e
• fbc6e1867de39feb53f62f8fe805b9dee8ca66e751243731d1db3974eba07e97
• fdfd0b06cb31d68146dbb5ffb45b82ca1b59a7b4f62f917a990a9c3bd01654ab