Le compte Reddit officiel et vérifié de HBO Max a été détourné pour diffuser 108 publicités malveillantes en 48 heures. Les annonces dirigeaient notamment les internautes vers un faux logiciel HBO Max pour macOS, avant de leur demander de copier une commande dans le Terminal afin d’installer eux-mêmes un logiciel voleur de données.
La confiance dans un compte vérifié détournée
La campagne a été repérée lorsqu’une publicité publiée par le compte u/hbomax a proposé une application HBO Max native pour Mac, alors qu’un tel programme n’existe pas. Le bouton de téléchargement ouvrait un site reproduisant l’identité visuelle du service puis affichait une procédure présentée comme nécessaire pour installer l’application.
Le piège ne déclenchait pas directement un téléchargement classique. Il déposait une commande dans le presse-papiers et demandait à la victime de la coller dans le Terminal. Cette technique d’ingénierie sociale, appelée ClickFix, exploite une action volontaire de l’utilisateur pour contourner une partie des protections du navigateur et du système.
Le laboratoire Hudson Rock et le chercheur Kirk d’ADAMnetworks ont relié l’incident à une opération plus large baptisée PasteSwitch. Leur analyse technique recense 108 annonces différentes : 46 utilisaient HBO Max comme appât, 47 visaient des outils pour développeurs et 15 promettaient un utilitaire de nettoyage pour Mac.
Une campagne capable de changer selon l’ordinateur
PasteSwitch sélectionne son scénario en fonction de la plateforme et du profil du visiteur. Sur macOS, les chercheurs ont observé plusieurs voleurs d’informations capables de récupérer des identifiants de navigateur, des sessions, des données de messagerie et des mots de passe. De fausses applications de portefeuille de cryptomonnaies tentaient aussi de dérober les phrases de récupération de 12 ou 24 mots.
La branche Windows utilisait PowerShell et d’autres composants du système pour charger des programmes malveillants, parfois directement en mémoire. Une variante cherchait même à faire apparaître une connexion comme destinée à Facebook dans certains journaux réseau, alors que les données partaient vers une infrastructure contrôlée par les attaquants.
D’autres modules surveillaient le presse-papiers afin de remplacer une adresse de portefeuille par celle des criminels au moment d’un transfert. Pour rendre leur infrastructure plus résistante, les opérateurs utilisaient des contrats sur la blockchain BNB Smart Chain afin de publier de nouvelles adresses de serveurs de commande. Les chercheurs ont relevé 36 changements entre mars et juillet 2026.
Comment reconnaître une attaque ClickFix
Une vérification anti-robot, un lecteur vidéo ou un bouton de téléchargement ne doit jamais exiger l’ouverture de PowerShell, de l’invite de commandes ou du Terminal. Copier une instruction depuis une page web puis l’exécuter revient à autoriser du code dont le contenu réel peut être masqué ou récupéré à distance.
Les entreprises peuvent limiter le risque en bloquant les terminaux pour les comptes qui n’en ont pas besoin et en surveillant les processus lancés par les navigateurs. Pour le grand public, la règle la plus simple consiste à fermer la page et à télécharger l’application depuis la boutique ou le site officiel saisi manuellement. Les campagnes d’hameçonnage visant les clients de Booking.com montrent déjà comment une identité légitime ou un canal de confiance peut rendre un message frauduleux beaucoup plus crédible (lire : Booking.com confirme une énorme fuite de données : les voyageurs visés par une campagne de phishing).
Reddit coupe la campagne
Reddit a confirmé qu’un compte autorisé à acheter des publicités avait été compromis. La plateforme a suspendu les annonces, verrouillé le compte et lancé une enquête avec ses équipes de sécurité. Elle n’a pas communiqué le nombre de clics ni celui des personnes potentiellement infectées. Warner Bros. Discovery, propriétaire de HBO Max, n’avait pas répondu aux demandes de commentaire au moment de la publication de l’enquête.
![image produit Open Range [Édition Simple]](https://kulturegeek.fr/comparateur/img_products/89111/dvd-open-range-18434_thumb.jpg)
