Les pirates transforment les publicités Facebook en pièges de drainage de crypto

Les pirates ciblent les utilisateurs de crypto en lançant des publicités agressives pour les mises à jour de Windows 11 sur Facebook. 

Les fausses publicités volent les phrases semences des portefeuilles crypto, les identifiants de connexion et d'autres informations sensibles. De plus, le logiciel malveillant récupère les mots de passe enregistrés et les sessions de navigateur.

Les pirates promeuvent de fausses mises à jour Windows 11 sur Facebook

Selon Malwarebytes rapport, les pirates utilisent un branding Microsoft professionnel pour promouvoir la fausse mise à jour Windows 11. Une fois qu'une victime clique sur la publicité, elle voit un site web Microsoft cloné avec un nom de domaine imitant les domaines légitimes de Microsoft.

Les pirates utilisent le géorepérage (geofencing), une technique qui cible les utilisateurs réguliers se connectant depuis des adresses IP domestiques ou de bureau, et évite les adresses IP des centres de données. Cela permet d'empêcher les scanners automatisés d'exposer l'attaque.

Une fois que la victime passe le test de géorepérage, elle reçoit un installateur malveillant, hébergé sur GitHub et téléchargé à partir d'un domaine sécurisé avec un certificat de sécurité. Cela donne à l'attaque l'apparence d'un téléchargement Microsoft légitime.

L'installateur malveillant dispose d'un mécanisme d'évasion qui scanne les machines virtuelles et les outils d'analyse, puis arrête son exécution pour éviter la détection. Cependant, sur l'ordinateur de la victime, le malware s'installe et commence à infecter le système.

Le malware installe un véritable framework dans un dossier nommé LunarApplication. Le nom du dossier est similaire à une marque d'outils crypto appelée Lunar. Cela donne au malware une apparence légitime aux yeux des utilisateurs de crypto, mais en réalité, il cible les portefeuilles de crypto-monnaies, les phrases de récupération (seed phrases) et envoie les données aux pirates.  

Les campagnes publicitaires malveillantes sur Facebook fonctionnent depuis longtemps et ont évité la détection grâce à des techniques d'évasion sophistiquées telles que le géofencing.

Les malwares crypto se propagent via des publicités sur les réseaux sociaux

Ce n'est pas la première fois que des pirates du secteur crypto utilisent des publicités Facebook pour voler les données des portefeuilles de crypto-monnaies. L'année dernière, les pirates ont profité de l'événement annuel Pi2Day pour lancer des campagnes publicitaires malveillantes sur Facebook ciblant les utilisateurs de crypto. 

L'événement annuel Pi2Day est célébré par la communauté Pi Network le 28 juin. Lors de la dernière édition, les pirates ont lancé 140 fausses publicités utilisant le branding de Pi Network. Les victimes étaient redirigées vers des sites de phishing promettant des jetons Pi gratuits ou des événements d'airdrop, mais en échange de la phrase de récupération de la victime. 

L'attaque par phishing visait des victimes provenant de diverses régions, notamment les États-Unis, l'Europe, l'Australie, la Chine et l'Inde. Elle a attiré les victimes grâce à d'autres techniques, telles que le minage facile de jetons Pi sur les smartphones. 

En septembre de l'année dernière, des chercheurs en cybersécurité ont découvert une autre attaque basée sur les publicités Meta promettant un accès gratuit à TradingView Premium. Les chercheurs de Bitdefender Labs a trouvé ont confirmé que l'attaque s'est étendue aux publicités Google et YouTube.

Les pirates ont détourné un compte YouTube vérifié et un compte annonceur Google pour lancer de fausses publicités redirigeant les victimes et soutirant leurs informations. L'abus de comptes YouTube vérifiés attire généralement des victimes peu méfiantes vers des sites malveillants se faisant passer pour des sites légitimes.

Selon Bitdefender, l'une des fausses publicités vidéo intitulée « Free TradingView Premium – Secret Method They Don’t Want You to Know » a été visionnée plus de 182 000 fois en quelques jours.

La description de la vidéo comprend un lien vers l'exécutable malveillant. Elle intègre une technique d'évasion qui amène l'utilisateur à afficher une page inoffensive si les attaquants ne le reconnaissent pas comme une cible valide. La vidéo était non répertoriée, ce qui la rend non recherchable et difficile à signaler à Google.

Il n'existe aucun rapport public isolant le montant total des crypto-monnaies volées spécifiquement via de fausses publicités. Cependant, une estimation de 17 milliards de dollars a été perdue dans des arnaques crypto en 2025, selon les données de Chainalysis.

Les malwares infostealers ont affecté des millions d'appareils et volé environ 1,8 milliard d'identifiants en 2025, selon le cabinet de cybersécurité DeepStrike. « Tout ce qui est lié à l'argent, que ce soit la banque en ligne, PayPal ou les portefeuilles de crypto-monnaies, est évidemment très prisé par les cybercriminels », a déclaré indique le rapport.