Хакеры превращают рекламу в Facebook в ловушки для кражи криптовалюты

Хакеры нацелены на пользователей криптовалюты, используя агрессивную рекламу обновлений Windows 11 в Facebook.

Фейковая реклама крадет seed-фразы криптокошельков, учетные данные и другую конфиденциальную информацию. Кроме того, вредоносное ПО собирает сохраненные пароли и данные сессий браузера.

Хакеры продвигают поддельные обновления Windows 11 в Facebook

Согласно отчету Malwarebytes, хакеры используют профессиональную брендировку Microsoft для продвижения поддельного обновления Windows 11. После того, как жертва нажимает на рекламу, она видит клонированный веб-сайт Microsoft с доменным именем, имитирующим легитимные домены Microsoft.

Хакеры используют геофенсинг, технику, которая нацелена на обычных пользователей, подключающихся через домашний интернет или офисы, и избегает IP-адресов из центров обработки данных. Это делается для предотвращения обнаружения атаки автоматизированными сканерами.

После того, как жертва проходит геофенсинг, она получает вредоносный установщик, размещенный на GitHub и загружаемый с безопасного домена с сертификатом безопасности. Это делает атаку похожей на настоящую загрузку от Microsoft.

Вредоносный установщик имеет механизм уклонения, который сканирует виртуальные машины и инструменты анализа и останавливает выполнение, чтобы избежать обнаружения. Однако на компьютере жертвы вредоносное ПО устанавливается и начинает заражать систему.

Вредоносное ПО устанавливает реальный фреймворк в папку с именем LunarApplication. Название папки похоже на название бренда инструментов для криптовалют под названием Lunar. Это делает вредоносное ПО похожим на легитимное программное обеспечение для пользователей криптовалют, но на самом деле оно нацелено на файлы криптокошельков и seed-фразы и отправляет данные хакерам.

См. также: Анализ цены Vechain: VET продолжает искать поддержку ниже 0,089 доллара США после сильного медвежьего прорыва.

Вредоносные рекламные кампании в Facebook действуют уже долгое время и избегают обнаружения благодаря сложным методам уклонения, таким как геофенсинг.

Вредоносное ПО для криптовалют распространяется через рекламу в социальных сетях

Это не первый случай, когда хакеры, занимающиеся криптовалютой, используют рекламу в Facebook для кражи данных криптокошельков. В прошлом году хакеры воспользовались ежегодным мероприятием Pi2Day и запустили вредоносные рекламные кампании в Facebook, нацеленные на пользователей криптовалюты.

Ежегодное мероприятие Pi2Day отмечается сообществом Pi Network 28 июня. Во время этого мероприятия хакеры запустили 140 фейковых объявлений, используя брендинг Pi Network. Жертв перенаправляли на фишинговые веб-сайты, которые предлагали бесплатные токены Pi или мероприятия airdrop, но в обмен на секретную фразу восстановления жертвы.

Фишинговая атака была направлена на жертв из различных регионов, включая США, Европу, Австралию, Китай и Индию. Она заманивала жертв с помощью других методов, включая простую добычу токенов Pi на смартфонах.

В сентябре прошлого года исследователи в области кибербезопасности обнаружили еще одну атаку, использующую рекламу Meta, которая продвигала бесплатный доступ к TradingView Premium. Исследователи из Bitdefender Labs обнаружили, что атака распространилась на рекламу в Google и YouTube.

Хакеры взломали верифицированный аккаунт YouTube и аккаунт рекламодателя Google и запустили поддельные объявления, чтобы перенаправлять жертв и получать их личные данные. Злоупотребление верифицированными аккаунтами YouTube обычно привлекает неосторожных пользователей на вредоносные сайты, маскирующиеся под легитимные.

См. также: Заморожены средства, полученные в результате эксплуатации, на сумму 3,9 миллиона долларов компанией Alex Labs.

По данным компании Bitdefender, один из поддельных видеорекламных роликов под названием «Бесплатная премиум-подписка TradingView – секретный метод, который они не хотят, чтобы вы знали», был просмотрен более 182 000 раз всего за несколько дней.

В описании к видео содержится ссылка на вредоносный исполняемый файл. Он использует технику обхода, которая заставляет пользователя видеть безобидную страницу, если злоумышленники не распознают его как целевую аудиторию. Видео было помечено как "не для публичного просмотра", что затрудняет его поиск и сообщение о нем в Google.

Нет публичных отчетов, в которых указывается общая сумма криптовалюты, украденной конкретно с помощью поддельных объявлений. Однако, по данным компании Chainalysis, в 2025 году в результате криптовалютных мошенничеств были потеряны около 17 миллиардов долларов.

В 2025 году вредоносное ПО, крадущее информацию, затронуло миллионы устройств и украло около 1,8 миллиарда учетных данных, по данным компании DeepStrike, специализирующейся на кибербезопасности. «Все, что связано с деньгами в онлайн-банкинге, PayPal, криптовалютных кошельках, является ценным для киберпреступников», – говорится в отчете.