Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Malvertising od lat pozostaje skuteczną metodą dystrybucji zagrożeń, ponieważ wykorzystuje zaufanie użytkowników do reklam, sponsorowanych wyników wyszukiwania oraz witryn podszywających się pod rozpoznawalne marki. W najnowszym wariancie tej techniki atakujący odchodzą jednak od klasycznego modelu dostarczania gotowego pliku wykonywalnego. Zamiast tego przenoszą kluczowy etap budowy złośliwego oprogramowania do przeglądarki ofiary.
Kampania określana jako SourTrade pokazuje, że przeglądarka może zostać użyta jako lokalne środowisko składania malware. Ofiara pobiera elementy pośrednie, instrukcje oraz legalnie wyglądający komponent bazowy, a finalny ładunek powstaje dopiero po stronie klienta. Taki model znacząco utrudnia wykrywanie zagrożenia przez tradycyjne systemy bezpieczeństwa.
W skrócie
SourTrade to rozbudowana kampania malvertisingowa wymierzona głównie w inwestorów detalicznych i użytkowników zainteresowanych kryptowalutami. Atakujący podszywają się pod znane marki z obszaru tradingu i aktywów cyfrowych, wykorzystując reklamy oraz fałszywe strony docelowe do nakłaniania ofiar do pobrania rzekomego oprogramowania.
- złośliwy plik nie jest dostarczany jako gotowy binarny artefakt,
- przeglądarka rejestruje mechanizmy Service Worker i SharedWorker,
- ładunek końcowy składany jest lokalnie w pamięci urządzenia,
- każda sesja może generować inny wariant pliku,
- kampania wykorzystuje cloaking, aby ukrywać złośliwą treść przed analitykami i systemami automatycznymi.
To podejście ogranicza skuteczność prostych mechanizmów opartych na sygnaturach i hashach, a jednocześnie komplikuje analizę incydentu oraz korelację śladów w ruchu sieciowym.
Kontekst / historia
Kampanie podszywające się pod platformy inwestycyjne i usługi kryptowalutowe nie są nowym zjawiskiem. Od dłuższego czasu cyberprzestępcy wykorzystują zainteresowanie handlem online, „premium” funkcjami oraz szybkim zyskiem do promowania fałszywych instalatorów i stron phishingowych. SourTrade wpisuje się w ten trend, ale wyróżnia się znacznie większą dojrzałością operacyjną.
Według analiz aktywność tej operacji trwa od końca 2024 roku i obejmuje wiele języków oraz rynków. Infrastruktura została przygotowana tak, by wyglądała wiarygodnie dla użytkowników końcowych, a jednocześnie pozostawała trudna do wykrycia przez systemy ochronne. Kluczową rolę odgrywa tu cloaking, czyli selektywne wyświetlanie złośliwej zawartości tylko rzeczywistym ofiarom. Boty analityczne, skanery i badacze mogą otrzymywać stronę pustą lub nieszkodliwą, podczas gdy prawdziwy użytkownik widzi przekonującą kopię legalnej usługi.
W praktyce oznacza to rozwinięcie wcześniejszych kampanii związanych z tematyką tradingu i kryptowalut. Tym razem atakujący nie polegają wyłącznie na socjotechnice i dystrybucji gotowego malware, lecz budują cały łańcuch dostarczenia tak, aby maksymalnie ograniczyć liczbę oczywistych wskaźników kompromitacji.
Analiza techniczna
Najważniejszą innowacją techniczną kampanii jest rozdzielenie dostarczenia komponentów od złożenia finalnego ładunku. Użytkownik nie pobiera jednego złośliwego pliku z pojedynczego adresu. Zamiast tego złośliwa strona uruchamia sekwencję działań, które razem tworzą lokalny pipeline budowy malware.
W pierwszym etapie strona rejestruje Service Worker odpowiedzialny za kontrolę procesu pobierania. Następnie tworzony jest SharedWorker pełniący funkcję mechanizmu pośredniczącego w składaniu komponentów. Dzięki temu przeglądarka staje się aktywnym elementem łańcucha infekcji, a nie jedynie narzędziem do pobrania pliku.
W kolejnym kroku pobierana jest konfiguracja zawierająca instrukcje budowy, parametry zależne od sesji oraz informacje o komponencie bazowym. Zamiast gotowego malware ofiara otrzymuje więc zestaw danych potrzebnych do lokalnego odtworzenia pliku. W analizach wskazano, że rolę bazowego środowiska wykonawczego może pełnić legalny komponent Bun, który jest później modyfikowany już na urządzeniu użytkownika.
Następnie przeglądarka pobiera czysty plik bazowy i łączy go z dodatkowymi blobami oraz lokalnie generowanymi danymi. Badacze opisali wykorzystanie strumienia bajtów tworzonego z użyciem parametrów losowych i mechanizmu AES-CTR. Efektem jest możliwość generowania różnych wariantów końcowego pliku dla poszczególnych ofiar lub sesji, co prowadzi do zmienności hashy i osłabia skuteczność klasycznych sygnatur.
Na końcu gotowy strumień trafia z powrotem do procesu pobierania kontrolowanego przez Service Worker. Z perspektywy użytkownika oraz części narzędzi bezpieczeństwa plik wygląda jak pobrany z tej samej, pozornie wiarygodnej domeny. Właśnie ten element szczególnie utrudnia analizę zależności między stroną docelową, legalnymi komponentami a właściwym ładunkiem.
Kluczowy problem polega na tym, że pełny malware nie musi nigdy występować w ruchu sieciowym jako jeden obiekt. Monitoring może rejestrować wyłącznie częściowe komponenty i standardowe mechanizmy przeglądarki, podczas gdy rzeczywisty artefakt końcowy powstaje dopiero lokalnie.
Konsekwencje / ryzyko
Z perspektywy obrony jest to model wyjątkowo trudny do wykrycia. Po pierwsze, znacząco spada wartość prostych wskaźników kompromitacji opartych na hashach plików. Jeżeli każda sesja może produkować inny wariant binarny, sygnatury statyczne szybko przestają być użyteczne operacyjnie.
Po drugie, ograniczona zostaje skuteczność klasycznej inspekcji ruchu sieciowego. Narzędzia bezpieczeństwa mogą widzieć jedynie nieszkodliwie wyglądające elementy, legalne komponenty i operacje wykonywane przez przeglądarkę. Bez analizy zachowania po stronie endpointu cały obraz ataku pozostaje niepełny.
Po trzecie, cloaking zwiększa skuteczność kampanii i jednocześnie opóźnia reakcję obrońców. Jeżeli systemy automatyczne nie widzą złośliwej zawartości, wykrycie ataku może nastąpić dopiero po zgłoszeniu incydentu lub po szczegółowej analizie stacji roboczej ofiary.
Szczególnie narażone są:
- organizacje finansowe i brokerzy,
- zespoły tradingowe,
- firmy działające w obszarze Web3 i aktywów cyfrowych,
- użytkownicy pobierający aplikacje inwestycyjne spoza oficjalnych kanałów,
- pracownicy korzystający z portfeli kryptowalutowych i narzędzi wysokiego ryzyka.
Powiązane kampanie tego typu były wcześniej łączone z kradzieżą ciasteczek, danych uwierzytelniających, informacji z portfeli, przechwytywaniem aktywności użytkownika, keyloggingiem oraz ustanawianiem trwałości w systemie.
Rekomendacje
Najważniejszą zasadą pozostaje ograniczone zaufanie do reklam, sponsorowanych wyników wyszukiwania i ofert promocyjnych dotyczących aplikacji finansowych oraz kryptowalutowych. Instalatory powinny być pobierane wyłącznie z oficjalnych źródeł producenta, a przed uruchomieniem należy zweryfikować podpis cyfrowy i dane wydawcy.
W środowiskach organizacyjnych warto wdrożyć polityki blokujące pobieranie niezatwierdzonego oprogramowania, szczególnie na stacjach używanych do operacji finansowych. Skuteczne mogą być także mechanizmy allowlistingu, kontrola uruchamiania binariów oraz dodatkowa izolacja urządzeń wysokiego ryzyka.
Na poziomie detekcji konieczne jest rozszerzenie monitoringu o zachowania przeglądarki i cały łańcuch dostarczenia. Obejmuje to obserwację rejestracji Service Workerów, nietypowego użycia SharedWorkerów, pobrań inicjowanych w ukrytych kontekstach oraz anomalii w przepływie strumieni danych.
- korelować dane z proxy, EDR, logów przeglądarek i sandboxów,
- blokować podejrzane domeny i ryzykowne kategorie reklam,
- stosować ochronę DNS oraz filtrowanie URL,
- analizować pochodzenie i oznaczenia pobranych plików,
- prowadzić szkolenia dla użytkowników zainteresowanych inwestycjami i kryptowalutami,
- wykorzystywać sandboxing dla instalatorów spoza standardowego łańcucha dostaw.
Zespoły SOC powinny zwracać szczególną uwagę na incydenty, w których użytkownik odwiedza stronę podszywającą się pod markę inwestycyjną, a następnie pobiera plik wykonywalny, którego nie da się łatwo powiązać z jednym artefaktem przechwyconym w ruchu HTTP.
Podsumowanie
SourTrade pokazuje wyraźną ewolucję malvertisingu. Przeglądarka nie jest już jedynie kanałem dostarczenia, ale staje się aktywnym środowiskiem składania złośliwego oprogramowania. Rozdzielenie komponentów, lokalna rekonstrukcja ładunku, rotacja parametrów per sesja i wykorzystanie mechanizmów Service Worker podnoszą poprzeczkę zarówno dla detekcji, jak i analizy incydentów.
Dla obrońców oznacza to konieczność odejścia od wyłącznego polegania na sygnaturach plikowych i prostym monitoringu pobrań. Najskuteczniejsze podejście wymaga połączenia kontroli źródeł oprogramowania, monitoringu zachowań przeglądarki, ochrony endpointów, korelacji telemetrycznej oraz stałej edukacji użytkowników szczególnie narażonych na kampanie podszywające się pod usługi finansowe i kryptowalutowe.
Źródła
- Infosecurity Magazine – Malvertising Builds Malware in Browser Memory
https://www.infosecurity-magazine.com/news/malvertising-builds-malware-in/ - BleepingComputer – Malicious sites use JavaScript to build malware in browser memory
https://www.bleepingcomputer.com/news/security/malicious-sites-use-javascript-to-build-malware-in-browser-memory/amp/ - Confiant – SourTrade: Browser-Assembled Malware Delivered Through Malvertising
https://blog.confiant.com/p/sourtrade-browser-assembled-malware - Bitdefender – The Scam That Won’t Quit: Malicious “TradingView Premium” Ads Jump from Meta to Google and YouTube
https://www.bitdefender.com/en-us/blog/labs/the-scam-that-wont-quit-malicious-tradingview-premium-ads-jump-from-meta-to-google-and-youtube