SourTrade assembla malware nel browser per eludere i controlli

🛡️ Executive Summary

• SourTrade usa annunci fraudolenti e siti clone di TradingView, Solana e Luno per colpire investitori e operatori di criptovalute.
• Il browser combina un runtime Bun legittimo, byte generati localmente e componenti malevoli senza scaricare un eseguibile completo dalla rete.
• La difesa richiede analisi dell’intera catena browser, controllo dei download pubblicitari e rilevamento comportamentale oltre ai soli hash dei file.

SourTrade ha sviluppato una catena di malvertising capace di assemblare direttamente nel browser della vittima un eseguibile malevolo per Windows. La campagna, attiva dalla fine del 2024, imita piattaforme conosciute come TradingView, Solana e Luno e raggiunge investitori retail in almeno dodici Paesi. Il malware finale non viene trasferito come file completo: il browser riceve istruzioni, scarica un runtime legittimo di Bun, genera localmente byte pseudocasuali e combina i componenti in memoria. Ogni sessione può così produrre un hash differente, riducendo l’efficacia dei controlli basati esclusivamente sulle firme statiche.

Gli annunci imitano piattaforme crypto conosciute

SourTrade utilizza campagne pubblicitarie programmatiche per intercettare persone interessate al trading, alle criptovalute e agli strumenti di analisi finanziaria. Gli annunci conducono a pagine che imitano TradingView, il network Solana oppure l’exchange Luno, coprendo diverse fasi dell’attività di un investitore: analisi dei mercati, acquisto di asset digitali e conversione tra criptovalute e valuta tradizionale. La ricerca tecnica pubblicata da Confiant documenta attività in Giappone, Thailandia, Corea del Sud, Taiwan, Hong Kong, Bolivia, Brasile, Nigeria, Turchia, Sudafrica, Australia e Regno Unito, con contenuti adattati in 25 lingue. La presenza di configurazioni riconducibili a Google Ads, Meta/Facebook Pixel e Twitter/X Pixel suggerisce che gli operatori misurino le conversioni e ottimizzino il traffico fraudolento attraverso più ecosistemi pubblicitari. Il modello ricorda la campagna FakeAgent distribuita attraverso annunci Bing e un falso Claude Desktop, ma introduce una tecnica di consegna più complessa, nella quale il browser partecipa direttamente alla costruzione del payload.

Il cloaking separa vittime e ricercatori

Le landing page utilizzano un sistema di cloaking per distinguere gli utenti reali dai crawler pubblicitari, dagli scanner automatici e dai ricercatori di sicurezza. Il sito analizza caratteristiche del visitatore, provenienza geografica, ambiente del browser e altri segnali prima di decidere quale contenuto mostrare. Gli utenti considerati non interessanti ricevono una pagina bianca o innocua, mentre i profili compatibili con il bersaglio vengono indirizzati verso una copia convincente della piattaforma impersonata.

Questa selezione riduce la probabilità che i domini vengano bloccati durante i controlli delle reti pubblicitarie e rende più difficile riprodurre il comportamento malevolo in laboratorio. Una strategia analoga caratterizzava 1Campaign, piattaforma di cloaking progettata per eludere i controlli di Google Ads, nella quale la consegna del contenuto fraudolento dipendeva dalla classificazione preventiva del visitatore. In SourTrade, però, il cloaking protegge anche una catena di assemblaggio che non espone mai sulla rete un singolo file malevolo completo.

Service Worker e Shared Worker preparano il download

Quando la pagina decide di colpire il visitatore, il codice JavaScript registra un Service Worker e crea un Shared Worker utilizzando codice incorporato direttamente nell’applicazione React. Il Service Worker mantiene un canale per lo streaming del file e intercetta le richieste verso percorsi appartenenti allo stesso dominio della landing page.

Lo Shared Worker contatta invece l’endpoint /config, al quale vengono inviati anche i dati raccolti durante il fingerprinting della vittima. La risposta non contiene un normale installer, ma una serie di istruzioni necessarie a costruirlo: un template, un indirizzo dal quale scaricare il runtime, un seed casuale e la dimensione del flusso da generare. Il browser diventa così una pipeline di compilazione e consegna. Nessun componente, analizzato isolatamente, rappresenta necessariamente il malware completo. Il runtime può risultare legittimo, il traffico di configurazione può apparire come normale JSON e i blocchi codificati possono sembrare frammenti privi di funzione autonoma. Soltanto la ricostruzione dell’intera sequenza rivela il file che verrà effettivamente eseguito.

Il runtime Bun viene trasformato in malware

Il componente principale scaricato dalla seconda infrastruttura è un runtime Bun standalone legittimo e compresso. Bun è un ambiente di esecuzione JavaScript e TypeScript che integra runtime, package manager, bundler e strumenti di sviluppo. SourTrade utilizza questo eseguibile pulito come base sulla quale inserire componenti controllati dall’attaccante. La risposta /config contiene blocchi Base64 che definiscono l’header PE, la tabella delle sezioni e una sezione .bun contenente bytecode JavaScriptCore malevolo.

Il template stabilisce quali intervalli di byte prelevare da ciascuna sorgente e in quale ordine scriverli nel file finale. Il browser scarica il runtime, decodifica i blocchi forniti dal server e genera localmente un flusso AES-CTR utilizzando seed e dimensioni specifici della sessione. Il risultato è un eseguibile autonomo nel quale il motore Bun carica ed esegue il bytecode incorporato. Il file non deriva quindi dalla semplice concatenazione di frammenti scaricati: una parte rilevante viene prodotta localmente, rendendo ogni campione potenzialmente differente.

Ogni vittima riceve un hash differente

L’uso di AES-CTR per generare byte pseudocasuali consente agli operatori di modificare grandi porzioni del file senza alterarne la logica operativa. Il server può ruotare seed e dimensioni per ogni sessione, producendo eseguibili con hash differenti anche quando il payload centrale rimane invariato. Questo comportamento riduce il valore degli indicatori basati esclusivamente su SHA-256, perché ogni nuova vittima può ricevere un campione mai osservato prima. Anche il runtime scaricato appare innocuo quando viene esaminato separatamente, mentre i log di rete mostrano il trasferimento di un componente legittimo e di una configurazione apparentemente strutturata. Il modello richiama le tecniche usate dalle campagne che distribuiscono software contraffatto attraverso l’avvelenamento dei motori di ricerca, come Silver Fox con Modbeacon e false applicazioni, ma SourTrade sposta la trasformazione finale dal server al dispositivo della vittima.

Il download appare provenire dallo stesso dominio

Dopo l’assemblaggio, la pagina consegna il flusso al Service Worker e genera un percorso appartenente allo stesso dominio della landing page. Un iframe nascosto apre questo indirizzo e attiva il download del file assemblato come normale allegato. Dal punto di vista del browser, il file sembra quindi provenire direttamente dal sito visitato, anche se alcune parti sono state recuperate da un’infrastruttura secondaria e altre sono state generate in memoria. Questa tecnica influenza anche il Mark of the Web, il metadato utilizzato da Windows per registrare l’origine Internet di un file. Nelle varianti più recenti, il riferimento punta alla stessa origine della pagina fraudolenta e non al dominio esterno dal quale proviene il runtime. Le versioni precedenti utilizzavano invece il progetto StreamSaver ospitato su GitHub, lasciando una traccia più evidente. Il passaggio a un Service Worker locale mostra l’evoluzione della campagna e la volontà di ridurre gli elementi esterni visibili durante l’analisi.

La difesa deve ricostruire l’intera catena

SourTrade evidenzia i limiti delle difese che valutano separatamente annunci, dominio, file scaricato e traffico di rete. Il runtime Bun può essere legittimo, il download può risultare same-origin e il malware finale può avere un hash mai registrato. I controlli devono quindi correlare la registrazione di Service Worker insoliti, la creazione di Shared Worker da blob JavaScript, il recupero di configurazioni contenenti grandi template Base64 e la generazione di file eseguibili attraverso stream in memoria. Anche l’esecuzione di un runtime Bun scaricato da un sito che imita una piattaforma finanziaria rappresenta un indicatore anomalo. Le reti aziendali dovrebbero limitare l’esecuzione di file provenienti da browser, applicare controlli reputazionali sui domini pubblicitari e monitorare processi figli avviati da eseguibili appena scaricati. Per gli utenti resta decisivo evitare installer ottenuti da annunci sponsorizzati e raggiungere piattaforme finanziarie, wallet e strumenti di trading attraverso indirizzi verificati o preferiti già salvati. SourTrade non elimina la necessità dell’interazione umana, ma rende il payload molto più difficile da riconoscere prima che il browser ne completi la costruzione.