공격자들이 공식 HBO Max의 Reddit 계정(u/hbomax)을 탈취한 뒤, 해당 계정의 신뢰도 높은 광고 권한을 악용해 48시간 동안 108개의 허위 광고를 게재했습니다. 이 광고는 'ClickFix'라는 사회공학 기법을 이용해 피해자가 직접 악성 명령어를 자신의 컴퓨터에 입력하도록 유도합니다. macOS와 Windows 모두를 표적으로 삼았으며, 브라우저 저장 비밀번호·암호화폐 지갑·메신저 데이터 등을 훔치는 여러 종류의 악성코드가 사용됐습니다. 특히 공격 인프라 일부가 블록체인 스마트 컨트랙트에 저장돼 추적과 차단이 어렵습니다. 검증된 공식 계정이 악용된 만큼, 플랫폼 광고라도 무조건 신뢰해선 안 된다는 점을 다시 한번 상기시켜 줍니다.
공격자가 공식 HBO Max Reddit 계정(u/hbomax)을 탈취하고, 48시간 동안 108개의 ClickFix 악성 광고를 집행했다. 이 캠페인은 'PasteSwitch'로 명명됐으며, 가짜 HBO Max 앱·OpenAI Codex·Apple 디스크 유틸리티 등을 사칭했다.
macOS와 Windows 사용자 모두를 대상으로 브라우저 자격증명·Telegram 데이터·Apple Notes·암호화폐 복구 구문(12·24단어) 등이 탈취 위험에 노출됐다. 클리퍼 악성코드(AnimateClipper, ZigClipper)는 피해자가 복사한 암호화폐 지갑 주소를 공격자 주소로 몰래 교체한다.
공식 Reddit 계정이 탈취되면서 플랫폼이 부여한 광고 신뢰도가 악용됐다. ClickFix 기법으로 피해자 스스로 악성 명령어를 실행하게 유도해 보안 솔루션 탐지를 우회했고, C2(명령·제어) 서버 주소를 블록체인 스마트 컨트랙트에 저장해 인프라 교체가 용이했다.
Reddit은 해당 광고를 중단하고 계정을 보호 조치했다. Hudson Rock과 ADAMnetworks가 캠페인 전모를 분석·공개했다. 피해 의심 시 브라우저 저장 비밀번호 전체 교체, 암호화폐 지갑 복구 구문 재발급, 시스템 악성코드 스캔이 필요하다.
신뢰된 플랫폼 계정의 광고라도 클릭 후 터미널·PowerShell 명령어 입력을 요구하면 즉시 중단해야 한다. 기업 보안팀은 ClickFix 패턴(curl 파이프라인, mshta/PowerShell 체인)에 대한 엔드포인트 탐지 규칙을 점검하고, 관련 악성 도메인(hbomaxx[.]app, hbomax-macos[.]com, codex-craft[.]com 등)을 차단 목록에 추가해야 한다.
본문
공격자들이 공식 HBO Max Reddit 계정인 u/hbomax를 탈취하고, 해당 계정의 신뢰도 높은 광고 권한을 이용해 macOS 및 Windows 기기를 노리는 ClickFix 캠페인을 전개했습니다. 목표는 정보 탈취 악성코드(인포스틸러) 배포였습니다.
허위 광고 스크린샷 (출처: Alex Cutts)
ClickFix는 사이버 범죄자들 사이에서 점점 인기를 얻고 있는 소셜 엔지니어링 기법입니다. 문제 해결이나 정기 유지보수에 필요한 것처럼 속여 피해자가 스스로 자신의 컴퓨터에 악성 명령어를 실행하도록 유도합니다.
Reddit 사용자가 허위 광고를 발견하다
Hudson Rock과 ADAMnetworks의 보안 연구원들은 9월 6일 한 Reddit 사용자가 인포스틸러 광고를 신고한 뒤 해당 캠페인을 분석했습니다.
"Reddit을 둘러보다가 u/hbomax가 작성자로 표시된 광고를 봤습니다. 들어본 적 없는 macOS용 HBO Max 앱을 홍보하고 있었는데 흥미로웠습니다. 해당 계정은 인증됐고, 공식 HBO Max 서브레딧에 여러 번 게시한 이력도 있었습니다"라고 해당 사용자는 전했습니다.
광고를 클릭하면 hbomaxx[.]us로 연결됐고, "어느 정도 정상적으로 보이며 가입 버튼과 다운로드 버튼이 있었습니다." 사용자에 따르면 "이 버튼들을 클릭하면 전형적인 인포스틸러/클릭픽스 방식으로 '이 명령어를 붙여넣어 다운로드하라'는 화면이 나타났습니다." 이어 "샌드박스 환경에서 확인한 결과 실행 파일이 다운로드되며 계정 탈취 기능도 포함돼 있었습니다. 실행하지 않고 출력값만 분석했습니다"라고 덧붙였습니다.
"제 추측으로는 Reddit 계정이 해킹된 것 같습니다"라고 그는 경고했습니다.
48시간 동안 108개의 광고
탈취된 계정은 48시간 동안 Reddit 사용자에게 108개의 서로 다른 ClickFix 광고를 노출했으며, 연구원들은 이 대규모 작전을 'PasteSwitch'로 명명했습니다.
"위협 행위자들은 인증 계정의 신뢰 지위에서 최대한 많은 이익을 뽑아내기 위해 도메인이 차단될 때마다 빠르게 다른 도메인으로 전환했습니다"라고 Hudson Rock은 밝혔습니다.
108개 광고 중 46개는 HBO Max를 사칭했으며, hbomaxx[.]app과 hbomax-macos[.]com으로 나뉘었습니다. 36개는 OpenAI Codex를 사칭해 codex-craft[.]com으로 유도했습니다. 나머지는 apple.clean-disk-guide[.]com의 가짜 macOS 디스크 유틸리티 광고 15개, code-desktop[.]com의 기타 개발자 도구 광고 11개로 구성됐습니다.
더 큰 시스템의 입구 중 하나
HBO Max 광고는 해당 작전의 여러 진입점 중 하나였습니다. 동일한 배포 시스템은 이미 가짜 Claude, Codex, Alfred, Homebrew, GitHub, 유틸리티, 지갑 앱 등에서도 사용된 것으로 확인됐습니다.
ADAMnetworks는 복사된 명령어를 추적한 결과 "MacSync, AMOS, Amatera, 가짜 지갑 앱, 컨트랙트로 제어되는 암호화폐 클리퍼를 망라하는 크로스 플랫폼 배포 작전"으로 이어졌다고 설명했습니다.
방문자들은 악성 콘텐츠가 표시되기 전에 사전 검사를 거쳤습니다. 브라우저, 화면, 기기 신호에 따라 일부 방문자에게는 미끼와 악성 명령어가 제공됐고, 나머지는 빈 페이지, 정상 벤더 사이트로의 리다이렉션, 또는 무관한 콘텐츠가 표시됐습니다. 이를 통해 자동화된 보안 스캔이 패턴을 일관되게 탐지하지 못하도록 했습니다.
macOS와 Windows에 각각 다른 악성코드 사용
macOS에서 PasteSwitch는 curl 출력을 zsh로 파이프하는 명령어를 사용했습니다. 이 방식은 별도의 다운로드 단계 없이 공격자 코드를 바로 실행합니다. 연구원들은 세 가지 주요 페이로드(악성코드 본체)를 식별했습니다.
MacSync는 트랜잭션 토큰으로 감염된 기기를 추적하고, 탐지를 피하기 위해 훔친 데이터를 조각으로 나눠 전송했습니다. 브라우저 자격증명, Gecko 프로필, Telegram 데이터, Apple Notes, macOS 비밀번호를 수집해 숨겨진 zip 파일에 압축한 뒤 유출했습니다.
AMOS Helper는 macOS 시스템 서비스로 위장해 지속 실행되는 백그라운드 프로세스로 설치된 후, 공격자 인프라에 지속적으로 체크인하며 추가 작업을 수행했습니다.
Ledger, Trezor Suite, Exodus를 모방한 가짜 지갑 앱은 12단어 및 24단어 BIP39 복구 구문을 수집해 공격자가 피해자의 암호화폐에 직접 접근할 수 있도록 했습니다.
Windows 방문자는 mshta와 PowerShell을 사용하는 별도의 체인을 통해 공격받았으며, 메모리에서 실행되는 로더가 최종적으로 Amatera를 설치했습니다. Amatera는 호스트 정보를 수집하고, 스크린샷을 찍으며, 저장된 브라우저 자격증명을 복호화하는 악성코드입니다.
블록체인에 호스팅된 명령·제어(C2) 인프라
이번 작전에 사용된 클리퍼 악성코드인 AnimateClipper와 ZigClipper는 피해자가 복사한 암호화폐 지갑 주소를 공격자 소유의 주소로 교체합니다. 고정된 C2 도메인 대신 운영자들은 해당 주소를 Binance Smart Chain의 스마트 컨트랙트 안에 저장했습니다. 이를 통해 새 도메인을 등록하지 않고 컨트랙트만 업데이트하는 방식으로 인프라를 교체할 수 있습니다.
"2026년 3월부터 7월 사이, 연구원들은 동일한 공격자 컨트롤러 주소가 실행한 36건의 메인넷 변경을 관찰했습니다. C2 도메인이 블록체인에 직접 호스팅되기 때문에 이 인프라는 동적 복원력을 갖추고 있으며, 위협 행위자들이 차단된 도메인을 손쉽게 교체할 수 있습니다"라고 Hudson Rock은 덧붙였습니다.
Reddit은 이후 광고를 중단하고 계정을 보호 조치했습니다. Hudson Rock의 CTO인 Alon Gal은 LinkedIn에 "하지만 이번 캠페인은 신뢰할 수 있는 배포 채널이 왜 인포스틸러 배포의 주요 표적이 되고 있는지를 다시 한번 증명했다"고 밝혔습니다.
