Facebook-annonser för ai-verktyg sprider virus
Publicerad: 2025-05-26
Senast ändrad: 2025-05-26
SSF Stöldskyddsföreningen har kartlagt en pågående bedrägerikampanj på Facebook. Annonser som marknadsför ai-verktyg sprider i själva verket skadliga trojaner. Trots upprepade anmälningar väljer Facebooks annonsgranskare att tillåta de trojanspridande annonserna.
Facebook har problem med bedrägliga annonser
Problemet med bedrägliga Facebook-annonser är långt ifrån nytt. Svensk media har genom åren rapporterat upprepade gånger om Facebook-annonser som utnyttjar svenska kändisar för att locka in Facebook-användare i investeringsbedrägerier. Se exempelvis SVT Uppdrag Gransknings serie Bedragarnas Imperium för mer information om detta.
Facebooks annonsplattformar utnyttjas dock inte enbart för investeringsbedrägerier. Nu florerar också mängder med annonser som marknadsför falska ai-verktyg. Ai-verktygen påstås generera animerade filmer utifrån textbeskrivningar och stillbilder. I själva verket lurar de användarna att ladda ned trojaner som infekterar deras datorer.
Under mars månad upptäckte och anmälde SSF sammanlagt 40 annonser som länkade till falska och skadeprogramsspridande ai-verktyg. Vi följde upp hur Facebook hanterade våra anmälningar, vilket mynnade ut i ett nyhetsinslag hos Sveriges Radio. Lyssna på ”Bedragares Facebook-annonser ligger kvar trots anmälan ” på Sveriges Radios webbplats.
Annonser luras med falska logotyper och länkar
Många av de trojanspridande annonserna är trovärdigt utformade. De ser ut att komma från väletablerade företag i ai-branschen, till exempel Google, Grok, Canva och Deepseek. Annonserna kommer från Facebook-sidor som ofta bär samma namn som de riktiga ai-företagen. Några av Facebook-sidorna har rentav stulit ai-företagens logotyper.
De bedrägliga Facebook-annonserna kommer från sidor med stulna namn och logotyper.
Annonserna ser dessutom ofta ut att länka till de riktiga ai-verktygens webbplatser. Facebooks annonsplattform har en brist som gör att angripare kan manipulera domänerna som visas i annonser. De bedrägliga annonserna kan alltså visa den riktiga webbplatsens domän även om annonsen i själva verket leder till en helt annan domän.
De bedrägliga Facebook-annonserna leder till andra domäner än de som visas.
Program som ser ut att vara filmer
Att angriparna riktar in sig på just ai-verktyg är ingen slump. Angriparna vill att användarna ska ladda ned och öppna filer. Då är klonade ai-verktyg perfekta ur angriparnas perspektiv. Användarna förväntar sig trots allt att få filmfiler från sådana webbplatser.
Obs! De riktiga ai-verktygen visar de genererade filmerna direkt i webbläsaren, utan att användaren behöver ladda ned någon fil.
Angriparna gör bedrägerierna extra trovärdiga genom att visa påhittade animationer medan videoklippen påstås genereras i bakgrunden. De nedladdade filerna har ofta missvisande filnamn. Vi har noterat flera exempel där de trojanpreparerade filerna bär dubbla filnamnstillägg: både .mp4 (vanligt förekommande för filmer) och .exe (vanligt förekommande för program). Bedragarna lägger in mellanrum mellan de två filnamnstilläggen så att det sista och riktiga filnamnstillägget sällan syns.
De trojanpreparerade filerna har ofta dubbla filnamnstillägg för att de ska se ut som filmfiler.
Filerna är egentligen spionprogram
Skadeprogrammen från de 40 analyserade exemplen var allihop olika former av fjärråtkomsttrojaner och spionprogram. Skadeprogrammen var alltså inte utpressningstrojaner (ransomware) som utpressningskrypterar filer och kräver en lösensumma för att återställa dem till läsbart skick.
Skadeprogrammen var tvärtom skapade för att verka obemärkta i bakgrunden, för att därigenom ge angriparna tillgång till känslig information, till exempel inloggningsuppgifter och nycklar till plånböcker för kryptovalutor.
Microsoft Defender upptäckte några av trojanerna som var gjorda för att verka obemärkta i bakgrunden.
Säkerhetsföretaget Morphisec har gjort djupare teknisk analys av en av trojanerna som vi också stötte på under vår kartläggning.
Facebooks annonsgranskare avslog 90 procent av våra anmälningar
Facebooks annonsgranskare valde att avslå anmälan för 36 av våra 40 anmälda annonser. Vi överklagade samtliga avslag. Facebooks annonsgranskare plockade då bort ytterligare två annonser men meddelade att resterande 34 annonser var förenliga med deras annonsregler.
När Sveriges Radio rapporterade om kartläggningen fick Meta Sverige möjlighet att medverka på en intervju, men de valde att avstå. Meta lämnade enbart en skriftlig kommentar där de förklarade att de vet om att deras tillsyn har brister, att de därför investerar i förbättrad teknik och samarbetar med brottsbekämpande myndigheter.
Efter att kartläggningen avslutades har Meta Sverige fått ta del av SSF:s insamlade material. Samtliga anmälda annonser är sedan dess bortplockade. Tyvärr fortsätter dock bedragarna, till synes obehindrat, att publicera nya trojanspridande annonser.
I väntan på att Facebook får bukt med problemet avråder SSF från att klicka på Facebook-annonser, framför allt med tanke på att domänen som visas inte nödvändigtvis är dit annonsen faktiskt leder.