المخترقون يحولون إعلانات Facebook إلى فخاخ لتصريف العملات المشفرة

يستهدف المخترقون مستخدمي العملات المشفرة من خلال إطلاق إعلانات عدوانية لتحديث Windows 11 على Facebook. 

تسرق الإعلانات المزورة عبارات البذور لمحافظ العملات المشفرة، وتفاصيل تسجيل الدخول، ومعلومات حساسة أخرى. علاوة على ذلك، تجمع البرمجيات الخبيثة كلمات المرور المحفوظة وجلسات المتصفح.

يعزز المخترقون تحديثات Windows 11 المزيفة على Facebook

وفقاً لـ Malwarebytes تقرير، يستخدم المخترقون علامات Microsoft الاحترافية للترويج لتحديث Windows 11 المزيف. بمجرد أن ينقر الضحية على الإعلان، يرى موقع Microsoft المستنسخ مع اسم نطاق يحاكي نطاقات Microsoft الشرعية.

يستخدم المخترقون التوجيه الجغرافي (geofencing)، وهي تقنية تستهدف المستخدمين العاديين الذين يتصلون من إنترنت المنزل أو المكاتب، وتتجنب عناوين IP من مراكز البيانات. يتم ذلك لمنع الماسحات الضوئية الآلية من كشف الهجوم.

بمجرد أن يتجاوز الضحية التوجيه الجغرافي، يتلقى مثبتاً خبيثاً، يتم استضافته على GitHub وتنزيله من نطاق آمن بشهادة أمان. يجعل هذا الهجوم يبدو وكأنه تنزيل حقيقي من Microsoft.

يحتوي المثبت الخبيث على آلية تجنب تفحص الأجهزة الافتراضية وأدوات التحليل وتتوقف عن التنفيذ لتجنب الكشف. ومع ذلك، على جهاز الكمبيوتر الخاص بالضحية، يقوم البرمجيات الخبيثة بالتثبيت ويبدأ في إصابة النظام.

تقوم البرمجيات الخبيثة بتثبيت إطار عمل حقيقي في مجلد يُسمى LunarApplication. يشبه اسم المجلد علامة تجارية لأدوات العملات المشفرة تُدعى Lunar. يجعل هذا البرمجيات الخبيثة تبدو شرعية أمام مستخدمي العملات المشفرة، لكنها في الواقع تستهدف محفظة عملات رقمية الملفات وعبارات البذور وترسل البيانات إلى المخترقين.  

كانت حملات الإعلانات الخبيثة على فيسبوك تعمل منذ فترة طويلة وتجنب الكشف عنها من خلال تقنيات متطورة لتجنب الاكتشاف مثل التقييد الجغرافي.

تنتشر برمجيات العملات المشفرة الخبيثة عبر إعلانات وسائل التواصل الاجتماعي

هذه ليست المرة الأولى التي يستغل فيها مخترقو العملات المشفرة إعلانات فيسبوك لسرقة بيانات محافظ العملات المشفرة. العام الماضي، استغل المخترقون حدث Pi2Day السنوي وأطلقوا حملات إعلانية خبيثة على فيسبوك تستهدف مستخدمي العملات المشفرة. 

يحتفل مجتمع شبكة Pi بحدث Pi2Day السنوي في 28 يونيو. خلال الحدث الأخير، أطلق المخترقون 140 إعلانًا مزيفًا باستخدام هوية شبكة Pi. تم تحويل الضحايا إلى مواقع تصيد احتيالي تروج لرموز Pi المجانية أو أحداث التوزيع المجاني، ولكن مقابل عبارة الاستعادة الخاصة بالضحية. 

استهدف هجوم التصيد الضحايا من مناطق مختلفة، بما في ذلك الولايات المتحدة وأوروبا وأستراليا والصين والهند. أغوى الضحايا من خلال تقنيات أخرى، بما في ذلك تعدين رموز Pi بسهولة على الهواتف الذكية. 

في سبتمبر من العام الماضي، اكتشف باحثو الأمن السيبراني هجومًا آخر يعتمد على إعلانات Meta يروج للوصول المجاني إلى TradingView Premium. الباحثون من مختبرات Bitdefender وجد أشاروا إلى أن الهجوم انتشر إلى إعلانات Google وYouTube.

استولى المخترقون على حساب YouTube موثق وحساب مُعلن على Google وأطلقوا إعلانات مزيفة لتحويل الضحايا وخداعهم لسرقة معلوماتهم. عادةً ما يؤدي إساءة استخدام حسابات YouTube الموثوقة إلى جذب الضحايا غير الحذرين إلى مواقع خبيثة تتنكر كمواقع شرعية.

وفقًا لـ Bitdefender، تم مشاهدة أحد الإعلانات المصورة المزيفة بعنوان "TradingView Premium مجاني - الطريقة السرية التي لا يريدونك معرفتها" أكثر من 182,000 مرة في غضون أيام قليلة.

يتضمن وصف الفيديو رابطًا إلى البرنامج التنفيذي الخبيث. يستخدم تقنية تجنب تجعل المستخدم يرى صفحة غير ضارة إذا لم يتعرف المهاجمون عليهم كهدف صالح. كان الفيديو غير مدرج، مما يجعله غير قابل للبحث وصعب الإبلاغ عنه إلى جوجل.

لا توجد تقارير عامة تعزل المبلغ الإجمالي للعملات المشفرة المسروقة تحديدًا من خلال الإعلانات المزيفة. ومع ذلك، فقد فُقد ما يقدر بنحو 17 مليار دولار في عمليات الاحتيال المتعلقة بالعملات المشفرة في عام 2025 بناءً على بيانات Chainalysis.

أثرت برمجيات سرقة المعلومات على ملايين الأجهزة وسرقت حوالي 1.8 مليار بيانات اعتماد في عام 2025، وفقًا لشركة الأمن السيبراني DeepStrike. "أي شيء مرتبط بالمال في الخدمات المصرفية عبر الإنترنت وPayPal ومحافظ العملات المشفرة هو بالتأكيد مرغوب فيه من قبل المجرمين السيبرانيين"، أوضحت وفقًا للتقرير.