HBO Max 官方 Reddit 账号被入侵：黑客借 ClickFix 手法诱导 Mac 用户执行恶意命令
9 月 20 日消息，据 IT之家援引外媒 borncity 报道，HBO Max 官方 Reddit 账号近期遭到黑客控制，并被用于针对苹果 Mac 用户发起一场持续约 48 小时的 ClickFix 钓鱼活动。攻击者并非简单投放恶意文件下载链接，而是借助被入侵的官方账号发布广告，将用户引导至仿冒的 HBO Max 页面，再诱导用户复制一条命令并粘贴到 macOS 终端中执行。由于该账号具备“官方”外观，这类攻击对普通用户和轻度技术用户都更具迷惑性。
公开信息显示，HBO Max 是华纳兄弟旗下的视频点播服务，提供电视剧、电影及华纳兄弟自制内容，并计划于 2026 年 1 月 13 日起正式进入德国市场。外媒同时提到，类似流媒体服务的社交媒体官方账号，实际运营往往可能由外包团队负责，这也让账号权限管理、广告投放审核和异常行为监测成为安全链条中的薄弱环节。
攻击方式：不下载文件，而是让用户“自己运行命令”
此次事件的关键在于攻击者采用了 ClickFix 攻击变体。来源显示，相关广告会把用户带到一个高度仿真的 HBO Max 页面，页面上的下载按钮并不会直接触发传统意义上的安装包下载，而是提示用户复制某条命令，并手动粘贴到 macOS 终端中运行。
这种设计的危险之处在于，它把恶意执行动作包装成“解决问题”“完成安装”或“继续访问”的正常步骤。与常见木马文件相比，ClickFix 攻击更依赖社会工程学：用户如果相信页面提示，就可能主动绕过浏览器下载拦截、系统提示或部分杀毒软件对文件的检测流程。
不过，这类攻击也有一个限制：用户必须完成复制、打开终端、粘贴并执行命令等额外动作。因此，安全意识较强的用户往往能在这一环节察觉异常。事件曝光前，一名 Reddit 用户在 r/cybersecurity 版块报告了相关广告并发布截图，随后 Reddit 管理员封禁了 HBO Max 账号发布的相关广告并展开调查。
被滥用的不只 HBO Max：AI 编程工具也成诱饵
来源称，在广告被封禁前，该账号共发布了 108 条广告，其中不到一半使用 HBO Max 作为诱饵；另有 47 条广告面向开发者推广 AI 编程工具，15 条广告宣传 macOS 磁盘清理工具。这说明攻击者并未只瞄准流媒体用户，而是同时覆盖了开发者、Mac 效率工具用户以及可能持有加密资产的人群。
- 流媒体诱饵：借 HBO Max 品牌和官方账号可信度，吸引普通用户点击。
- AI 编程工具诱饵：面向开发者群体，利用当前 AI Coding 工具热度提高转化率。
- Mac 清理工具诱饵：贴合 macOS 用户常见需求，诱导其执行所谓“修复”或“安装”操作。
- 加密钱包伪装：后续载荷中出现仿冒 Ledger、Trezor、Exodus 等钱包应用，说明攻击可能与资产窃取有关。
安全研究：恶意命令指向 PasteSwitch 分发系统
安全公司 Hudson Rock 和 ADAMnetworks 的研究人员进一步追踪了广告中诱导用户执行的命令。来源显示，这些命令最终指向一个名为“PasteSwitch”的恶意木马分发系统。该系统会根据访问者设备和其他条件选择不同载荷，从而向不同目标投递相应恶意软件。
就此次事件而言，相关载荷主要面向苹果 macOS。研究人员发现，攻击者分发的恶意程序可能用于获取浏览器登录凭据、备忘录内容以及密码 App 内的信息，同时还包含伪装成加密货币钱包应用的山寨软件。对于 Mac 用户而言，这意味着风险不只停留在账号被盗，还可能涉及本地敏感数据和数字资产安全。
影响与解读：官方账号信任正在成为攻击入口
这起事件再次提醒，“官方账号”本身并不等同于绝对安全。当攻击者控制品牌社交账号后，可以利用平台广告系统、认证标识和用户信任，在短时间内放大攻击触达范围。对于科技行业来说，这类事件尤其值得关注，因为 AI 工具、开发者插件、终端命令和自动化脚本本就常出现在技术用户日常工作流中，攻击者很容易把恶意命令伪装成“安装依赖”“修复环境”或“启用功能”。
对中文用户而言，即使 HBO Max 并非本地主要服务，这类攻击方式仍具有普遍参考意义。任何网页、广告或社交媒体帖子，只要要求用户把陌生命令复制到终端、PowerShell、命令提示符或脚本工具中执行，都应被视为高风险操作。不要因为页面制作精良、账号看似官方或内容与热门 AI 工具相关，就放松验证。
更稳妥的做法是：软件只从官方网站、系统应用商店或可信仓库获取；终端命令在执行前先理解其含义；涉及密码、钱包、浏览器数据和系统权限的提示，应额外谨慎。对于品牌方和运营团队而言，也需要加强社交账号权限分级、广告发布审计和异常登录监控，避免社交平台账号被攻击者变成大规模钓鱼的入口。