Nuova Campagna di Malware su Facebook che sfrutta i Brand delle Criptovalute

Una nuova e sofisticata campagna di malvertising ha preso di mira gli utenti Facebook, sfruttando la reputazione di famose piattaforme di criptovalute per diffondere il malware. A rivelarlo è un dettagliato report di Bitdefender Labs, che ha analizzato la minaccia in profondità.

Da mesi è attiva una campagna pubblicitaria fraudolenta che promuove finti annunci di Binance, TradingView, MetaMask e altre piattaforme note. Gli utenti vengono convinti a scaricare un presunto “client desktop” che, in realtà, installa malware sul dispositivo. Una volta infettato il dispositivo, il malware si connette a un server locale, esfiltra i dati sensibili usando query WMI e scarica ulteriori payload in tempo reale.

I ricercatori di Bitdefender hanno scoperto centinaia di account Facebook che promuovono queste pagine malevoli, promettendo vantaggi finanziari. In un caso, una singola pagina ha lanciato oltre 100 annunci in un solo giorno (9 aprile 2025). Sebbene molti annunci vengano rimossi rapidamente, alcuni accumulano migliaia di visualizzazioni prima della rimozione. Il targeting è spesso molto preciso, ad esempio uomini maggiorenni in Bulgaria e Slovacchia.

La tecnica dell’attacco

Questa campagna adotta un approccio ibrido, unendo inganno front-end e un servizio malware in local host. Adattandosi dinamicamente all’ambiente della vittima e aggiornando i payload, i malfattori mantengono un’operazione resiliente e altamente evasiva.

Durante l’analisi, Bitdefender è stata tra le poche soluzioni di sicurezza a rilevare sia le DLL malevoli che gli script front-end tramite firme generiche. Il file dannoso: “installer.msi” installa una DLL che apre un server locale e comunica con script front-end. Il malware schedula comandi con Power Shell, esfiltra info su software, hardware, geolocalizzazione e BIOS e adatta il comportamento in base all’ambiente della vittima: per esempio, ignora sandbox e analisi automatizzate.

Le tecniche impiegate rendono difficile un’analisi completa end-to-end, dal comportamento dei siti web malevoli alla mancata consegna del payload finale in ambienti di analisi. Combinata con il potenziale inganno degli annunci su Facebook e il fascino delle criptovalute, questa campagna mostra come minacce “comuni” possano raggiungere livelli elevati di complessità. Per saperne di più leggi l’articolo originale.

Bitdefender rileva:

• Generic.MSIL.WMITask – DLL malevoli

• Generic.JS.WMITask – Script dannosi nei siti

• Trojan.Agent.GOSL – Script malevoli nei payload finali

L’attivazione anticipata di queste firme ha bloccato migliaia di tentativi di infezione a livello globale.

Come difendersi

Bitdefender si raccomanda di diffidare da quegli annunci che offrono software gratuiti o guadagni incredibili, di scaricare software solo dai siti ufficiali (es. TradingView, Binance, MetaMask) e di usare strumenti di verifica come Bitdefender Scamio e Link Checker. Fondamentale è mantenere sempre aggiornato il software di sicurezza e se un sito richiede un browser specifico chiuderlo subito. Ultimo suggerimento: segnalare sempre gli annunci sospetti su Facebook.

Per approfondire le tue competenze sul software di Bitdefender, partecipa agli eventi formativi ed informativi di Avangate. Se non potessi farlo in diretta consulta l’archivio dei webinar e ricorda che noi siamo sempre disponibili a supportarti per ogni esigenza.