Über das verifizierte Reddit-Konto u/hbomax haben Cyberkriminelle innerhalb von rund 48 Stunden 108 bösartige Anzeigen verbreitet und damit Windows- sowie macOS-Nutzer gezielt mit Krypto-stehlender Malware attackiert. Statt eines klassischen Exploits setzten die Angreifer auf sogenannte ClickFix-Techniken, bei denen Opfer selbst dazu gebracht werden, schädliche Befehle über PowerShell oder das Terminal auszuführen.
Für Anleger, die Kryptowährungen halten, ist genau dieser Mechanismus relevant: Die Kampagne zielte nicht nur auf klassische Zugangsdaten, sondern explizit auf Wallet-Informationen und Browser-Sessions ab.
HBO-Max-Konto als Malware-Verteiler missbraucht
Laut einer am 15. September 2026 veröffentlichten Analyse des Sicherheitsanbieters Aviatrix bleibt der exakte Weg der Kompromittierung des HBO-Max-Kontos bislang unklar. Fest steht laut der Auswertung, dass Angreifer über das verifizierte Profil binnen etwa 48 Stunden 108 Werbeanzeigen schalteten, die sich gezielt an Windows- und macOS-Nutzer richteten.
Die Kampagne wird von den Analysten der breiteren PasteSwitch-Operation zugeordnet, einer Infrastruktur, die bereits mit ähnlichen ClickFix-Angriffen in Verbindung gebracht wurde. Auch bei Phishing-Mails gegen Trezor- und BitBox-Nutzer zeigte sich zuletzt, wie kompromittierte oder gefälschte Absender genutzt werden, um Vertrauen für schädliche Links zu missbrauchen.
Was die ClickFix-Kampagne auf den Geräten anrichtete
Nutzer, die auf die Anzeigen klickten, landeten auf von den Angreifern kontrollierten Domains, die vermeintlich legitime Anwendungen anboten. Von dort aus wurden laut Aviatrix Schadprogramme wie MacSync und Amatera Stealer ausgeliefert, ergänzt um Krypto-Clipper und gefälschte Wallet-Apps.
Als Ziel der Datenausleitung nennt die Analyse Browser-Zugangsdaten, Kryptowährungs-Wallets und allgemeine Systemdaten. Im Impact-Überblick des Berichts werden zusätzlich potenziell kompromittierte Reddit-Zugangsdaten sowie bei betroffenen Nutzern Wallet-Daten, Apple-Notes-Einträge, macOS-Passwörter, Firefox-Profile und Telegram-Daten aufgeführt. Technisch ordnet Aviatrix die Ausführung schädlicher Befehle über PowerShell und Unix Shell den entsprechenden Command-and-Scripting-Interpreter-Techniken zu. Wie stark manipulierte Wallet-Adressen konkret Zahlungen umleiten können, zeigt auch der Fall der Eggjagger-Malware, die auf ähnliche Weise Transaktionen abfängt.
Vertrauenswürdige Marken als neue Angriffsfläche
Aviatrix bewertet den Vorfall als deutliche Eskalation bei der Übernahme verifizierter Social-Media-Konten zur Malware-Verteilung. Der Kern des Problems liegt darin, dass ClickFix klassische Sicherheitsannahmen umgeht: Nicht ein System wird kompromittiert, sondern der Nutzer selbst führt über legitime Betriebssystemfunktionen den schädlichen Code aus.
Betroffen sind laut der Analyse vor allem Bereiche wie Markenreputation, Social-Media-Marketing, Kundenkontakt und digitale Werbung. Ergänzende Berichterstattung, etwa vom Sicherheitsmedium BleepingComputer und The Register, ordnet ClickFix-Angriffe allgemein als wachsenden Trend weg von technischen Exploits hin zu Social Engineering ein – eine Einschätzung, die über die primäre Aviatrix-Analyse hinausgeht und als externe Einordnung zu verstehen ist. Wie schnell durchgesickerte oder kompromittierte Nutzerdaten anschließend für Folgeangriffe genutzt werden, verdeutlicht auch der Fall rund um das Trezor-Datenleck bei ShipMonk-Kunden.
Maßnahmen gegen die Ausbreitung und Datenausleitung
Aviatrix empfiehlt als Reaktion unter anderem Egress-Sicherheitsrichtlinien, um unautorisierte Verbindungen zu Angreifer-Infrastruktur und Datenabfluss zu unterbinden. Ergänzend nennt der Anbieter Inline-IPS mit Suricata-Signaturen, Multicloud-Transparenz, Zero-Trust-Segmentierung nach dem Least-Privilege-Prinzip sowie URL-Filterung über Cloud-Firewalls.
Diese Vorschläge sind als Analysten- beziehungsweise Anbieterempfehlung von Aviatrix zu verstehen und nicht als Beleg dafür, dass sie den konkreten Vorfall bereits gestoppt haben. Als operative Auswirkung beziffert die Analyse eine geschätzte Unterbrechung von zwei Tagen, während konkrete finanzielle Verluste in dem Bericht nicht ausgewiesen werden.
Zuletzt aktualisiert am 17. September 2026
