Хакеры превращают рекламу в Facebook в ловушки для кражи криптовалюты

Хакеры атакуют пользователей криптовалют, запуская агрессивные рекламные объявления об обновлении Windows 11 в Facebook. 

Фальшивые объявления крадут сид-фразы кошельков, данные для входа и другую конфиденциальную информацию. Кроме того, вредоносное ПО собирает сохраненные пароли и сеансы браузера.

Хакеры продвигают фальшивые обновления Windows 11 в Facebook

Согласно Malwarebytes отчете, хакеры используют профессиональный брендинг Microsoft для продвижения фальшивого обновления Windows 11. После того как жертва нажимает на рекламу, она видит клонированный веб-сайт Microsoft с доменным именем, имитирующим легитимные домены Microsoft.

Хакеры используют геотаргетинг, который является техникой, нацеленной на обычных пользователей, подключенных через домашний интернет или офисы, и избегает IP-адресов из дата-центров. Это делается для того, чтобы остановить автоматические сканеры, которые могут раскрыть атаку.

После того как жертва проходит геотаргетинг, она получает вредоносный установщик, размещенный на GitHub и загружаемый с защищенного домена с сертификатом безопасности. Это делает атаку похожей на настоящую загрузку Microsoft.

Вредоносный установщик имеет механизм обхода, который сканирует виртуальные машины и инструменты анализа и останавливает выполнение, чтобы избежать обнаружения. Однако на компьютере жертвы вредоносное ПО устанавливается и начинает заражать систему.

Вредоносное ПО устанавливает реальную среду выполнения в папку с именем LunarApplication. Имя папки похоже на бренд крипто-инструментов под названием Lunar. Это делает вредоносное ПО похожим на легитимное для пользователей криптовалют, но на самом деле оно нацелено на криптокошелёк файлы и сид-фразы и отправляет данные хакерам.  

Вредоносные рекламные кампании в Facebook работают уже давно и избегают обнаружения благодаря сложным техникам обхода, таким как геотаргетинг.

Крипто-вредоносное ПО распространяется через рекламу в социальных сетях

Это не первый раз, когда крипто-хакеры используют рекламу в Facebook для кражи данных крипто-кошельков. В прошлом году хакеры воспользовались ежегодным событием Pi2Day и запустили вредоносные рекламные кампании в Facebook, нацеленные на пользователей криптовалют. 

Ежегодное событие Pi2Day отмечается сообществом Pi Network 28 июня. Во время последнего события хакеры запустили 140 фальшивых объявлений с использованием брендинга Pi Network. Жертв перенаправляли на фишинговые веб-сайты, которые продвигали бесплатные токены Pi или события аирдропа, но в обмен на фразу восстановления жертвы. 

Фишинговая атака нацеливалась на жертв из различных регионов, включая США, Европу, Австралию, Китай и Индию. Она заманивала жертв с помощью других техник, включая легкий майнинг токенов Pi на смартфонах. 

В сентябре прошлого года исследователи кибербезопасности обнаружили еще одну атаку на основе рекламы Meta, продвигающую бесплатный доступ к TradingView Premium. Исследователи из Bitdefender Labs нашел что атака распространилась на рекламу в Google и YouTube.

Хакеры захватили верифицированный аккаунт YouTube и аккаунт рекламодателя Google и запустили фальшивые объявления для перенаправления жертв и фишинга их информации. Злоупотребление верифицированными аккаунтами YouTube обычно заманивает неосторожных жертв на вредоносные веб-сайты, маскирующиеся под легитимные.

Согласно Bitdefender, одно из фальшивых видеорекламных объявлений с заголовком «Бесплатный TradingView Premium – Секретный метод, который они не хотят, чтобы вы знали» набрало более 182 000 просмотров за несколько дней.

Описание видео включает ссылку на вредоносный исполняемый файл. В нем используется техника обхода, которая заставляет пользователя видеть безвредную страницу, если атакующие не узнают в нем действительную цель. Видео было скрытым, что делает его недоступным для поиска и сложным для сообщения о нем Google.

Не существует публичного отчета, выделяющего общую сумму криптовалюты, украденной именно через поддельные объявления. Однако, согласно данным Chainalysis, в 2025 году от криптомошенничества было потеряно около 17 миллиардов долларов.

В 2025 году вредоносное ПО типа «инфостилер» затронуло миллионы устройств и похитило около 1,8 миллиарда учетных данных, сообщает компания по кибербезопасности DeepStrike. «Все, что связано с деньгами в онлайн-банкинге, PayPal или кошельках криптовалют, очевидно, представляет большой интерес для киберпреступников», заявила сообщается в отчете.