Hackers transformam anúncios do Facebook em armadilhas para drenar criptomoedas

Hackers estão mirando usuários de criptomoedas lançando anúncios agressivos de atualização do Windows 11 no Facebook. 

Os anúncios falsos roubam frases semente de carteiras de criptomoedas, detalhes de login e outras informações sensíveis. Além disso, o malware coleta senhas salvas e sessões do navegador.

Hackers promovem atualizações falsas do Windows 11 no Facebook

De acordo com a Malwarebytes relatório, hackers usam marca profissional da Microsoft para promover a atualização falsa do Windows 11. Uma vez que a vítima clica no anúncio, ela vê um site clonado da Microsoft com um nome de domínio imitando domínios legítimos da Microsoft.

Os hackers usam geofencing, que é uma técnica que mira usuários comuns que se conectam de internet doméstica ou escritórios, e evita endereços IP de data centers. Isso é feito para impedir que scanners automatizados exponham o ataque.

Uma vez que a vítima passa pelo geofencing, ela recebe um instalador malicioso, que é hospedado no GitHub e baixado de um domínio seguro com um certificado de segurança. Isso faz com que o ataque pareça um download genuíno da Microsoft.

O instalador malicioso tem um mecanismo de evasão que verifica máquinas virtuais e ferramentas de análise e interrompe a execução para evitar a detecção. No entanto, no computador da vítima, o malware se instala e começa a infectar o sistema.

O malware instala um framework real em uma pasta chamada LunarApplication. O nome da pasta é semelhante a uma marca de ferramentas de criptomoedas chamada Lunar. Isso faz com que o malware pareça legítimo para usuários de criptomoedas, mas na realidade, ele mira carteiras de criptomoeda arquivos e frases semente e envia os dados para os hackers.  

As campanhas de anúncios maliciosos do Facebook estão em execução há muito tempo e evitaram a detecção por meio de técnicas sofisticadas de evasão, como o geofencing.

Malware de criptomoedas se espalha por meio de anúncios de redes sociais

Esta não é a primeira vez que hackers de criptomoedas utilizaram anúncios do Facebook para roubar dados de carteiras de criptomoedas. No ano passado, hackers aproveitaram o evento anual Pi2Day e lançaram campanhas de anúncios maliciosos no Facebook mirando usuários de criptomoedas. 

O evento anual Pi2Day é celebrado pela comunidade da Pi Network em 28 de junho. Durante o último evento, hackers lançaram 140 anúncios falsos usando a marca da Pi Network. As vítimas foram redirecionadas para sites de phishing que promoviam tokens Pi gratuitos ou eventos de airdrop, mas em troca da frase de recuperação da vítima. 

O ataque de phishing mirou vítimas de várias regiões, incluindo EUA, Europa, Austrália, China e Índia. Ele atraiu vítimas por meio de outras técnicas, incluindo mineração fácil de tokens Pi em smartphones. 

Em setembro do ano passado, pesquisadores de segurança cibernética descobriram outro ataque baseado em anúncios da Meta promovendo acesso gratuito ao TradingView Premium. Pesquisadores do Bitdefender Labs encontrou que o ataque se espalhou para anúncios do Google e do YouTube.

Os hackers sequestraram uma conta do YouTube verificada e uma conta de anunciante do Google e lançaram anúncios falsos para redirecionar vítimas e phishing de suas informações. Abusar de contas do YouTube verificadas geralmente atrai vítimas ingênuas para sites maliciosos que se passam por legítimos.

De acordo com a Bitdefender, um dos falsos anúncios em vídeo intitulados “Free TradingView Premium – Secret Method They Don’t Want You to Know” foi visto mais de 182.000 vezes em alguns dias.

A descrição do vídeo inclui um link para o executável malicioso. Ele apresenta uma técnica de evasão que faz com que o usuário veja uma página inofensiva se os atacantes não o reconhecerem como um alvo válido. O vídeo estava não listado, o que o torna não pesquisável e difícil de reportar para Google.

Não há relatório público que isole o valor total de criptomoedas roubadas especificamente através de anúncios falsos. No entanto, estima-se que US$ 17 bilhões foram perdidos em golpes de criptomoedas em 2025, com base nos dados da Chainalysis.

O malware infector afetou milhões de dispositivos e roubou cerca de 1,8 bilhão de credenciais em 2025, de acordo com a empresa de cibersegurança DeepStrike. “Qualquer coisa com dinheiro associada a bancos online, PayPal, carteiras de criptomoedas é obviamente cobiçada por cibercriminosos,” declarou o relatório.