Facebook假广告伪装Win11更新 专门盗取加密钱包助记词

资安研究人员近日发现一起针对加密货币用户的新型攻击：黑客在Facebook上购买广告位，投放外观逼真的“Windows 11免费升级”广告。这些广告采用微软官方品牌标识与视觉设计，文案模仿官方语气，普通用户很难一眼识破。

克隆微软官网：从广告到恶意下载

点击广告后，用户会被导向一个精心克隆的微软官方网页。该页面的界面、排版甚至网址都经过刻意伪装，诱导用户下载所谓的“Windows 11更新安装包”。事实上，这个安装包是恶意程序“Lunar Application”的载体。

Lunar Application：专偷钱包助记词

一旦用户执行下载的安装程序，电脑就被植入“Lunar Application”恶意框架。该程序的核心目标是加密资产：扫描本地存储的助记词备份，黑客一旦获取，即可完全控制受害者钱包；同时窃取浏览器中保存的交易所账号密码、钱包应用登录信息，以及Cookie和自动填充表单数据，用于进一步账号劫持。

地理围栏技术：精准躲过安全扫描

黑客还使用了地理围栏（Geofencing）技术，刻意过滤来自数据中心IP地址的请求。这意味着安全厂商的自动化扫描器和沙箱环境难以访问恶意网站，大大降低了攻击被提前检测和标记的概率。这种手法显示出黑客具备较强的技术能力，不仅会社交工程，还懂得规避防护机制。

用户如何自保

面对此类日益精密的攻击，加密用户应提高警惕：始终从微软官网（microsoft.com）下载更新，不通过社交媒体广告下载任何软件；助记词离线保存，绝不存储在电脑上；使用硬件钱包（如Ledger、Trezor）保管大额资产；定期检查浏览器扩展，移除不明来源插件。