Les chercheurs de Malwarebytes ont découvert des publicités sur Facebook qui annoncent des mises à niveau gratuites vers Windows 11. Les cybercriminels ont créé des sites au design similaire au site officiel pour tromper les utilisateurs. Au lieu du système d'exploitation Microsoft, un malware qui vole des mots de passe et des crypto-monnaies.
Méfiez-vous des fausses publicités sur Facebook
Les experts de Malwarebytes ont noté que les publicités sont professionnelles et semblent donc avoir été publiées par Microsoft. Les publicités soulignent clairement quepasser à Windows 11 sans rien payer. C'est donc une offre incontournable. Lorsque l'utilisateur clique sur la bannière, un site au design similaire à celui de la société de Redmond s'ouvre, à partir duquel il est possible de télécharger le système d'exploitation.
L'interface reproduit fidèlement le logo, les polices et la mise en page. La seule différence est l'URL. Le domaine n'est évidemment pas celui officiel, mais il est indiqué « 25H2« , alors les utilisateurs pourraient être trompés. Si la victime sans méfiance clique sur le « Télécharger maintenant« présent sur la fausse page le fichier est téléchargé ms-update32.exe 75 Mo qui ressemble à l'installateur officiel.
Le fichier est hébergé sur GitHub. Puisqu’il provient d’un domaine de confiance, le navigateur ne détecte rien de suspect et n’affiche donc aucun avertissement. Le programme d'installation recherche les machines virtuelles, les logiciels de débogage ou les outils d'analyse avant de copier le malware sur votre ordinateur.
C'est un voleur d'informations qui vole les mots de passe du navigateur et les cookies de session, les phrases de départ et les fichiers de portefeuille de crypto-monnaie. Il ajoute également une clé dans le registre pour la persistance (exécutée au démarrage), puis supprime les fichiers temporaires pour ne laisser aucune trace.
Les cybercriminels (inconnus) utilisent deux domaines et deux comptes pour la campagne publicitaire Facebook afin d'avoir une redondance. Malwarebytes rappelle que les mises à jour Windows sont distribuées via Windows Update et que Microsoft n'en fait pas la publicité sur Facebook.