Los hackers convierten los anuncios de Facebook en trampas para drenar criptomonedas

Los hackers están atacando a los usuarios de criptomonedas lanzando anuncios agresivos de actualización de Windows 11 en Facebook. 

Los anuncios falsos roban las frases semilla de las billeteras de criptomonedas, los detalles de inicio de sesión y otra información sensible. Además, el malware recopila contraseñas guardadas y sesiones del navegador.

Los hackers promueven actualizaciones falsas de Windows 11 en Facebook

Según Malwarebytes informe, los hackers utilizan una marca profesional de Microsoft para promover la falsa actualización de Windows 11. Una vez que la víctima hace clic en el anuncio, ve un sitio web clonado de Microsoft con un nombre de dominio que imita los dominios legítimos de Microsoft.

Los hackers utilizan geolocalización, una técnica que apunta a usuarios normales que se conectan desde internet doméstico u oficinas, y evitan las direcciones IP de centros de datos. Esto se hace para evitar que los escáneres automáticos expongan el ataque.

Una vez que la víctima supera la geolocalización, recibe un instalador malicioso, que se aloja en GitHub y se descarga desde un dominio seguro con un certificado de seguridad. Esto hace que el ataque parezca una descarga genuina de Microsoft.

El instalador malicioso tiene un mecanismo de evasión que escanea en busca de máquinas virtuales y herramientas de análisis y detiene la ejecución para evitar la detección. Sin embargo, en la computadora de la víctima, el malware se instala y comienza a infectar el sistema.

El malware instala un marco de trabajo real en una carpeta llamada LunarApplication. El nombre de la carpeta es similar a una marca de herramientas de criptomonedas llamada Lunar. Esto hace que el malware parezca legítimo para los usuarios de criptomonedas, pero en realidad, apunta a archivos de billeteras de criptomonedas y frases semilla, y envía los datos a los hackers.  

Las campañas de anuncios maliciosos de Facebook han estado en funcionamiento durante mucho tiempo y han evitado la detección mediante técnicas de evasión sofisticadas como la geolocalización.

El malware de criptomonedas se propaga a través de anuncios en redes sociales

Esta no es la primera vez que los hackers de criptomonedas utilizan anuncios de Facebook para robar datos de billeteras de criptomonedas. El año pasado, los hackers aprovecharon el evento anual Pi2Day y lanzaron campañas de anuncios maliciosos en Facebook dirigidos a usuarios de criptomonedas. 

El evento anual Pi2Day es celebrado por la comunidad de Pi Network el 28 de junio. Durante el último evento, los hackers lanzaron 140 anuncios falsos utilizando la marca de Pi Network. Las víctimas fueron redirigidas a sitios web de phishing que promovían tokens Pi gratuitos o eventos de airdrop, pero a cambio de la frase de recuperación de la víctima. 

El ataque de phishing apuntó a víctimas de varias regiones, incluidos EE. UU., Europa, Australia, China e India. Engañó a las víctimas mediante otras técnicas, incluida la minería fácil de tokens Pi en teléfonos inteligentes. 

En septiembre del año pasado, investigadores de ciberseguridad descubrieron otro ataque basado en anuncios de Meta que promovía el acceso gratuito a TradingView Premium. Investigadores de Bitdefender Labs encontró que el ataque se extendió a anuncios de Google y YouTube.

Los hackers secuestraron una cuenta de YouTube verificada y una cuenta de anunciante de Google y lanzaron anuncios falsos para redirigir a las víctimas y robar su información. Abusar de cuentas de YouTube verificadas suele atraer a víctimas desprevenidas a sitios web maliciosos que se hacen pasar por legítimos.

Según Bitdefender, uno de los anuncios de video falsos titulado “TradingView Premium Gratis – El Método Secreto que No Quieren Que Sepas” fue visto más de 182.000 veces en unos pocos días.

La descripción del video incluye un enlace al ejecutable malicioso. Presenta una técnica de evasión que hace que el usuario vea una página inofensiva si los atacantes no lo reconocen como un objetivo válido. El video estaba oculto, lo que lo hace no buscable y difícil de informar a Google.

No hay un informe público que aísle el monto total de criptomonedas robadas específicamente a través de anuncios falsos. Sin embargo, se estima que se perdieron 17.000 millones de dólares en estafas de criptomonedas en 2025 según datos de Chainalysis.

El malware infector afectó a millones de dispositivos y robó alrededor de 1.800 millones de credenciales en 2025, según la firma de ciberseguridad DeepStrike. “Cualquier cosa con dinero vinculada a la banca en línea, PayPal y billeteras de criptomonedas es obviamente codiciada por los cibercriminales,” declaró el informe.