Gli hacker trasformano gli annunci di Facebook in trappole per il drenaggio di criptovalute

Gli hacker stanno prendendo di mira gli utenti di criptovalute lanciando aggressivi annunci di aggiornamento di Windows 11 su Facebook. 

Gli annunci falsi rubano le frasi seed dei portafogli crypto, i dettagli di accesso e altre informazioni sensibili. Inoltre, il malware raccoglie le password salvate e le sessioni del browser.

Gli hacker promuovono falsi aggiornamenti di Windows 11 su Facebook

Secondo un Malwarebytes rapporto, gli hacker utilizzano un branding Microsoft professionale per promuovere il falso aggiornamento di Windows 11. Una volta che la vittima fa clic sull'annuncio, vede un sito web Microsoft clonato con un nome di dominio che imita i domini Microsoft legittimi.

Gli hacker utilizzano il geofencing, una tecnica che prende di mira gli utenti regolari che si connettono da internet domestico o uffici, ed evita gli indirizzi IP dei data center. Questo viene fatto per impedire agli scanner automatizzati di esporre l'attacco.

Una volta che la vittima supera il geofencing, riceve un installer dannoso, che è ospitato su GitHub e scaricato da un dominio sicuro con un certificato di sicurezza. Questo fa sembrare l'attacco un vero download Microsoft.

L'installatore malevolo dispone di un meccanismo di elusione che scansiona le macchine virtuali e gli strumenti di analisi, interrompendo l'esecuzione per evitare il rilevamento. Tuttavia, sul computer della vittima, il malware si installa e inizia a infettare il sistema.

Il malware installa un framework reale in una cartella denominata LunarApplication. Il nome della cartella è simile a un marchio di strumenti crittografici chiamato Lunar. Questo fa sembrare il malware legittimo agli utenti di criptovalute, ma in realtà prende di mira portafogli cripto file e frasi di recupero (seed phrases) e invia i dati agli hacker.  

Le campagne pubblicitarie malevole su Facebook sono in esecuzione da molto tempo e hanno evitato il rilevamento attraverso sofisticate tecniche di elusione, come il geofencing.

Il malware cripto si diffonde tramite annunci sui social media

Non è la prima volta che gli hacker cripto utilizzano annunci Facebook per rubare dati dai portafogli cripto. L'anno scorso, gli hacker hanno approfittato dell'evento annuale Pi2Day e hanno lanciato campagne pubblicitarie malevole su Facebook mirate agli utenti di criptovalute. 

L'evento annuale Pi2Day è celebrato dalla comunità di Pi Network il 28 giugno. Durante l'ultimo evento, gli hacker hanno lanciato 140 annunci falsi utilizzando il branding di Pi Network. Le vittime venivano reindirizzate a siti web di phishing che promuovevano token Pi gratuiti o eventi di airdrop, ma in cambio della frase di recupero della vittima. 

L'attacco di phishing ha preso di mira vittime in diverse regioni, tra cui Stati Uniti, Europa, Australia, Cina e India. Ha attirato le vittime attraverso altre tecniche, tra cui il mining facile di token Pi sugli smartphone. 

Nello scorso settembre, i ricercatori di cybersecurity hanno scoperto un altro attacco basato sugli annunci Meta che promuoveva l'accesso gratuito a TradingView Premium. I ricercatori di Bitdefender Labs ha hanno rilevato che l'attacco si è esteso anche agli annunci di Google e YouTube.

Gli hacker hanno dirottato un account YouTube verificato e un account pubblicitario Google, lanciando annunci falsi per reindirizzare le vittime e rubare le loro informazioni. L'abuso di account YouTube verificati attira solitamente vittime inconsapevoli verso siti web malevoli che si spacciano per legittimi.

Secondo Bitdefender, uno degli annunci video falsi intitolato "Free TradingView Premium – Secret Method They Don’t Want You to Know" è stato visualizzato più di 182.000 volte in pochi giorni.

La descrizione del video include un link all'eseguibile malevolo. Presenta una tecnica di elusione che fa visualizzare all'utente una pagina innocua se gli attaccanti non lo riconoscono come un target valido. Il video era non in elenco (unlisted), il che lo rende non ricercabile e difficile da segnalare a Google.

Non esiste un rapporto pubblico che isoli l'importo totale delle criptovalute rubate specificamente tramite annunci falsi. Tuttavia, si stima che nel 2025 siano stati persi 17 miliardi di dollari a causa di truffe cripto, secondo i dati di Chainalysis.

Secondo l'azienda di cybersecurity DeepStrike, il malware infostealettore ha interessato milioni di dispositivi e ha rubato circa 1,8 miliardi di credenziali nel 2025. "Qualsiasi cosa abbia denaro collegato al banking online, PayPal o portafogli cripto è ovviamente ambita dai criminali informatici","17 ha dichiarato il rapporto.