Die Angreifer verließen sich auf ein inzwischen gut dokumentiertes Muster: Statt eine Datei auszuliefern, ließen sie das Opfer den Schadcode selbst starten. Die vermeintliche Download-Schaltfläche auf hbomaxx[.]us zeigte eine ClickFix-Anweisung an, einen Befehl in die Kommandozeile zu kopieren und auszuführen. ADAMnetworks beschreibt den Effekt so, dass die Ausführung damit vom Browser auf ein vertrauenswürdiges Systemwerkzeug in der Hand des Nutzers überging.
Unter macOS kam eine Kette aus curl und zsh zum Einsatz. Ausgeliefert wurden unter anderem MacSync, AMOS Helper sowie gefälschte Wallet-Anwendungen und weiterer Schadcode. Ziel war das Abgreifen von Zugangsdaten, Nachrichten, Browserdaten und Informationen zu Kryptowährungs-Wallets — dazu dauerhafter Zugriff auf die betroffenen Rechner.
Auf Windows-Systemen setzten die Täter auf MSHTA und PowerShell, um den Amatera Stealer zu installieren und Persistenz herzustellen. Die Schadsoftware war auf manuelle Prüfung der erbeuteten Zugangsdaten ausgelegt. Um Netzwerk-Telemetrie zu unterlaufen, tarnte sie ihre Kommunikation mit dem Command-and-Control-Server als Verbindungen zu Facebook.
Zur Kampagne gehörten laut HudsonRock außerdem die Clipboard-Werkzeuge AnimateClipper und ZigClipper. Sie blieben dauerhaft auf dem System und tauschten Kryptowährungs-Adressen in der Zwischenablage aus, sobald ein Nutzer eine Transaktion anstoßen wollte.
Nach Angaben der beteiligten Sicherheitsfirmen betreiben die Clipboard-Stealer ihre Command-and-Control-Anbindung über eine Blockchain. Die dafür genutzte Infrastruktur wurde offenbar vor über einem Jahr aufgebaut und wird seit Anfang 2026 für Angriffe eingesetzt — die Reddit-Anzeigen sind damit nur eine Verbreitungswelle einer länger laufenden Operation.
Dass die Anzeigen aus einem verifizierten Markenkonto stammten, gab der Kampagne ihre Wirkung: Nutzer sahen Werbung für eine HBO-Max-App, die von HBO Max selbst zu kommen schien. Reddit suspendierte die Anzeigen nach dem Hinweis auf die schädliche Aktivität umgehend. Eine Stellungnahme von Warner Bros. zu der Kontoübernahme lag bislang nicht vor.