SourTrade: Malvertising, das Malware direkt im Browser zusammenbaut

Einleitung

Die Malvertising-Kampagne „SourTrade“, die seit Ende 2024 aktiv ist, stellt einen qualitativen Sprung in der Umgehung von Schutzmechanismen dar: Anstatt eine vorgefertigte schädliche Datei zu verteilen, bringt sie den Browser des Opfers dazu, lokal eine ausführbare Windows-Datei zusammenzustellen. Die Kampagne zielt auf Privatanleger und Kryptowährungshändler ab und hat bekannte Marken wie TradingView, Solana und Luno imitiert. Sie erreichte 12 Länder und unterstützte 25 Sprachen. Die am 23. Juli 2026 von Confiant veröffentlichte Analyse beleuchtet die ausgeklügelte Angriffskette, die auf kreative Weise ServiceWorker, SharedWorker und die JavaScript-Laufzeitumgebung Bun nutzt.

Technische Analyse

Die Kette beginnt mit bösartigen Werbeanzeigen, die auf eine Landingpage mit Fingerprinting und Cloaking umleiten: Bots und Forschern werden leere Seiten angezeigt, während echte Browser den Schadcode erhalten. Nach der Profilerstellung ruft die Seite von einem /config-Endpunkt eine Vorlage, die Domain zum Herunterladen der Bun-Laufzeitumgebung (z. B. purelogicbox[.]org), Zufallswerte und Base64-kodierte PE-Abschnitte ab. Ein ServiceWorker und ein SharedWorker erzeugen dann einen pseudo-zufälligen AES-CTR-Stream, kombinieren die Blöcke gemäß der empfangenen Vorlage und produzieren für jede Sitzung eine einzigartige Binärdatei. Die endgültige ausführbare Datei, die die legitime Bun-Laufzeitumgebung mit schädlichen PE-Komponenten und JavaScriptCore-Bytecode verbindet, wird über einen versteckten iframe mit dem Header Content-Disposition ausgeliefert.

Diese Technik hat sich gegenüber einer früheren Phase weiterentwickelt, die bis zum 30. April 2026 zurückverfolgt wurde, als der Download die auf GitHub Pages gehostete Bibliothek StreamSaver.js nutzte. Das Fehlen von Exploits und der Verzicht auf Techniken zum Entfernen des Mark of the Web (MotW) machen die Bedrohung noch schwerer fassbar, da sie ausschließlich legitime Funktionen von Browsern und der Bun-Laufzeitumgebung nutzt. Am 26. Juli 2026 korrigierte Confiant eine frühere Angabe: Der Bitdefender-Bericht vom September 2025 über einen verwandten Cluster erwähnt Bun nicht, und daher ist nicht bestätigt, dass die aktuellen Samples die JSCEAL/WeevilProxy-Nutzlast enthalten (einen Stealer mit Keylogging, Anmeldedatendiebstahl, Verkehrsüberwachung und Fernzugriff). Die Analyse von Confiant endet mit dem Download, sodass die tatsächlichen schädlichen Fähigkeiten der Binärdatei noch zu überprüfen sind.

Auswirkungen

Die potenziellen Auswirkungen sind hoch und entsprechen den von Bitdefender dokumentierten Nutzlasten: Diebstahl von Zugangsdaten, Wallet-Schlüsseln für Kryptowährungen, Keylogging, Verkehrsüberwachung und Fernzugriff. Die Erzeugung einer einzigartigen Binärdatei pro Sitzung schränkt hashbasierte Erkennungen stark ein, doch die schädlichen Komponenten – die PE-Abschnitte und der Bytecode – werden dennoch über das Netzwerk übertragen und können durch Analyse der /config-Anfragen und des Downloads der Laufzeitumgebung von verdächtigen Domains abgefangen werden. Die Kampagne nutzt 96 bösartige Domains (als Indicators of Compromise veröffentlicht) und operiert in einem sensiblen Umfeld wie dem des Online-Investierens.

Gegenmaßnahmen

Für Benutzer: Laden Sie Wallets, Handelsplattformen und jegliche Finanzsoftware ausschließlich von den offiziellen Websites der Hersteller herunter und vermeiden Sie das Klicken auf Werbeanzeigen, selbst wenn diese legitim erscheinen.

Für Verteidiger: Es ist entscheidend, die gesamte Angriffskette zu überwachen – vom Referrer der Werbeanzeige über die Landingpage, die Cloaking anwendet, die /config-Anfrage, den Download der Laufzeitumgebung von verdächtigen Domains bis hin zur Aktivierung des ServiceWorkers. Confiant hat Indicators of Compromise (3 SHA-256-Hashes und 96 Domains) veröffentlicht, die in Erkennungssysteme integriert werden sollten. Darüber hinaus empfiehlt es sich, den Verkehr zu den bösartigen Domains zu inspizieren und die Base64-Nutzlasten in den /config-Antworten zu analysieren: Auch wenn die endgültige Binärdatei einzigartig ist, sind die übertragenen Komponenten auf Netzwerkebene erkennbar. Es gibt keinen Software-Patch, da die Bedrohung legitime Funktionen des Browsers und von Bun missbraucht.

FAQ

Was ist die SourTrade-Kampagne? Es handelt sich um eine seit Ende 2024 aktive Malvertising-Operation, die sich als Plattformen wie TradingView, Solana und Luno ausgibt, um Krypto-Investoren und -Händler anzugreifen. Anders als bei traditionellen Kampagnen wird keine vorgefertigte schädliche Datei verteilt, sondern der Browser des Opfers dazu gebracht, lokal eine Windows-ausführbare Datei zu erstellen, indem eine legitime Bun-Laufzeitumgebung mit schädlichen PE-Komponenten und Bytecode kombiniert wird.

Wie gelingt es, für jedes Opfer eine einzigartige ausführbare Datei zu erstellen? Nach dem Fingerprinting ruft die Landingpage von einem /config-Endpunkt eine Vorlage, die Domain für Bun, Zufallswerte und Base64-kodierte PE-Abschnitte ab. Ein ServiceWorker und ein SharedWorker verwenden einen pseudo-zufälligen AES-CTR-Stream, um die Blöcke gemäß der Vorlage zu kombinieren, und erzeugen eine nicht reproduzierbare Binärdatei, die anschließend über einen versteckten iframe heruntergeladen wird.

Was sind die wirksamsten Gegenmaßnahmen? Benutzer sollten Finanzsoftware nur aus offiziellen Quellen installieren und Werbeanzeigen meiden. Für Verteidiger ist es entscheidend, die gesamte Kette zu überwachen (Werbung, Cloaking, /config-Anfrage, Download von Bun von verdächtigen Domains) und die von Confiant bereitgestellten Indicators of Compromise zu nutzen. Die Untersuchung des Verkehrs zu den bösartigen Domains und der Base64-Nutzlasten in den /config-Antworten ermöglicht es, die schädlichen Komponenten vor dem Zusammenbau abzufangen. Es gibt keine Patches, da die Technik keine Schwachstellen, sondern Standardfunktionen ausnutzt.