Фейкова реклама викрадає сіди криптогаманців, дані для входу та іншу чутливу інформацію. Крім того, шкідливе ПЗ збирає збережені паролі та сесії браузера.
Хакери рекламували фейкові оновлення Windows 11 у Facebook
Згідно з доповіддю Malwarebytes, хакери використовують професійний брендинг Microsoft для просування фейкового оновлення Windows 11. Коли жертва натискає на рекламу, вона бачить клонований сайт Microsoft із доменом, що імітує справжні домени Microsoft.
Хакери використовують геофенсинг — це технологія, яка націлюється на звичайних користувачів, які підключаються з домашнього інтернету чи офісів, і уникає IP-адрес із дата-центрів. Це робиться для того, щоб автоматичні сканери не викрили атаку.
Після проходження геофенсингу жертва отримує шкідливий інсталятор, який розміщено на GitHub і завантажується із захищеного домену з сертифікатом безпеки. Це робить атаку схожою на справжнє завантаження Microsoft.
Шкідливий інсталятор має механізм ухилення, який сканує наявність віртуальних машин і аналітичних інструментів, і зупиняє виконання, щоб уникнути виявлення. Однак на комп’ютері жертви шкідливе ПЗ встановлюється і починає заражати систему.
Шкідливе ПЗ встановлює справжній фреймворк у папці з назвою LunarApplication. Назва папки схожа на бренд криптоінструментів Lunar. Це робить шкідливе ПЗ легітимним для користувачів криптовалют, але насправді воно націлюється на файли криптогаманців та сіди і надсилає дані хакерам.
Шкідливі рекламні кампанії у Facebook тривають вже тривалий час і уникають виявлення завдяки складним технікам ухилення, таким як геофенсинг.
Криптошкідливе ПЗ поширюється через рекламу у соціальних мережах
Це не перший випадок, коли криптохакери використовують рекламу у Facebook для викрадення даних криптогаманців. Торік хакери скористалися щорічною подією Pi2Day і запустили шкідливі рекламні кампанії у Facebook, націлені на криптокористувачів.
Щорічна подія Pi2Day святкується спільнотою Pi Network 28 червня. Під час минулої події хакери запустили 140 фейкових оголошень із брендингом Pi Network. Жертв перенаправляли на фішингові сайти, що пропонували безкоштовні Pi токени або airdrop, але в обмін на фразу відновлення жертви.
Фішингова атака була націлена на жертв із різних регіонів, зокрема США, Європи, Австралії, Китаю та Індії. Вона залучала жертв іншими методами, зокрема легкою здобиччю Pi токенів на смартфонах.
У вересні минулого року дослідники з кібербезпеки виявили ще одну атаку через рекламу Meta, яка пропонувала безкоштовний доступ до TradingView Premium. Дослідники з Bitdefender Labs виявили, що ця атака поширилась і на рекламу в Google та YouTube.
Хакери зламали підтверджений акаунт YouTube та рекламний акаунт Google і запустили фейкову рекламу, щоб перенаправити жертв і викрасти їхні дані. Зловживання підтвердженими акаунтами YouTube зазвичай заманює нічого не підозрюючих жертв на шкідливі сайти, що маскуються під легітимні.
За даними Bitdefender, одне з фейкових відео під назвою “Free TradingView Premium – Secret Method They Don’t Want You to Know” було переглянуто понад 182 000 разів за кілька днів.
У описі відео було посилання на шкідливий виконуваний файл. У ньому використовується техніка ухилення, завдяки якій користувач бачить безпечну сторінку, якщо зловмисники не розпізнають його як ціль. Відео було прихованим, тому його не можна знайти через пошук і складно повідомити про нього Google.
Немає публічних звітів, які б визначали загальну суму криптовалюти, викраденої саме через фейкову рекламу. Однак, за оцінками Chainalysis, у 2025 році на криптошахрайства було втрачено приблизно $17 мільярдів.
Шкідливе ПЗ типу infostealer уразило мільйони пристроїв і викрало близько 1,8 мільярда облікових даних у 2025 році, за даними кібербезпекової компанії DeepStrike. “Усе, що пов’язане з грошима — онлайн-банкінг, PayPal, криптогаманці — має особливу цінність для кіберзлочинців,” йдеться у звіті.
