SourTrade : le malvertising qui assemble le malware directement dans le navigateur

Introduction

L’opération de malvertising « SourTrade », active depuis fin 2024, représente un saut qualitatif dans l’évasion des défenses : au lieu de distribuer un fichier malveillant tout prêt, elle amène le navigateur de la victime à assembler localement un exécutable pour Windows. Ciblant les investisseurs particuliers et les traders de cryptomonnaies, la campagne a usurpé des marques connues comme TradingView, Solana et Luno, touchant 12 pays et prenant en charge 25 langues. L’analyse publiée par Confiant le 23 juillet 2026 a mis en lumière la chaîne d’attaque sophistiquée, qui exploite de manière créative les Service Worker, Shared Worker et le runtime JavaScript Bun.

Analyse technique

La chaîne commence par des annonces publicitaires malveillantes redirigeant vers une page de destination dotée de fingerprinting et de cloaking : aux bots et aux chercheurs sont renvoyées des pages vides, tandis que les navigateurs réels reçoivent le code malveillant. Après le profilage, la page récupère depuis un endpoint /config un template, le domaine depuis lequel télécharger le runtime Bun (par exemple purelogicbox[.]org), des valeurs aléatoires et des sections PE encodées en Base64. Un Service Worker et un Shared Worker génèrent alors un flux pseudo-aléatoire AES-CTR, combinent les blocs selon le template reçu et produisent un binaire unique pour chaque session. L’exécutable final, qui associe le runtime Bun légitime à des composants PE et à du bytecode JavaScriptCore malveillant, est servi via une iframe cachée avec l’en-tête Content-Disposition.

Cette technique a évolué par rapport à une phase antérieure, tracée jusqu’au 30 avril 2026, lorsque le téléchargement exploitait la bibliothèque StreamSaver.js hébergée sur GitHub Pages. L’absence d’exploit et le non-recours à des techniques pour supprimer la marque du Web (Mark of the Web, MotW) rendent la menace encore plus insaisissable, car elle utilise uniquement des fonctionnalités légitimes des navigateurs et du runtime Bun. Le 26 juillet 2026, Confiant a rectifié une indication précédente : le rapport de Bitdefender de septembre 2025 sur un cluster connexe ne mentionne pas Bun et, par conséquent, il n’est pas confirmé que les échantillons actuels contiennent la charge utile JSCEAL/WeevilProxy (un stealer avec enregistrement de frappe, vol d’identifiants, interception du trafic et accès à distance). L’analyse de Confiant s’arrête au moment du téléchargement, de sorte que les capacités malveillantes réelles du binaire restent à vérifier.

Impact

L’impact potentiel est élevé, en phase avec les charges utiles documentées par Bitdefender : vol d’identifiants, clés de portefeuilles de cryptomonnaies, enregistrement de frappe, interception du trafic et accès à distance. La génération d’un binaire unique par session limite fortement les détections basées sur les hashs, mais les composants malveillants – les sections PE et le bytecode – transitent néanmoins sur le réseau et peuvent être interceptés en analysant les requêtes /config et le téléchargement du runtime depuis des domaines suspects. La campagne utilise 96 domaines malveillants (publiés comme indicateurs de compromission) et opère dans un contexte sensible comme celui des investissements en ligne.

Atténuation

Pour les utilisateurs : télécharger portefeuilles, plateformes de trading et tout logiciel financier exclusivement depuis les sites officiels des éditeurs, en évitant de cliquer sur des annonces publicitaires même si elles semblent légitimes.

Pour les défenseurs : il est essentiel de surveiller l’ensemble de la chaîne d’attaque, depuis le référent de l’annonce jusqu’à la page de destination pratiquant le cloaking, en passant par la requête /config, le téléchargement du runtime depuis des domaines suspects et l’activation du Service Worker. Confiant a diffusé des indicateurs de compromission (3 hashs SHA-256 et 96 domaines) qui doivent être intégrés dans les systèmes de détection. En outre, il est recommandé d’inspecter le trafic vers les domaines malveillants et d’analyser les charges utiles Base64 contenues dans les réponses /config : même si le binaire final est unique, les composants transportés sont détectables au niveau réseau. Il n’existe pas de correctif logiciel car la menace abuse de fonctionnalités légitimes du navigateur et de Bun.

FAQ

Qu’est-ce que la campagne SourTrade ? Il s’agit d’une opération de malvertising active depuis fin 2024 qui usurpe des plateformes comme TradingView, Solana et Luno pour cibler les investisseurs et traders de cryptomonnaies. Contrairement aux campagnes traditionnelles, elle ne distribue pas un fichier malveillant tout prêt, mais amène le navigateur de la victime à construire localement un exécutable Windows, en combinant un runtime Bun légitime avec des composants PE et du bytecode malveillant.

Comment parvient-elle à créer un exécutable unique pour chaque victime ? Après le fingerprinting, la page de destination récupère depuis un endpoint /config un template, le domaine pour Bun, des valeurs aléatoires et des sections PE en Base64. Un Service Worker et un Shared Worker utilisent un flux pseudo-aléatoire AES-CTR pour combiner les blocs selon le template, générant un binaire non reproductible qui est ensuite téléchargé via une iframe cachée.

Quelles sont les contre-mesures les plus efficaces ? Les utilisateurs doivent installer les logiciels financiers uniquement à partir de sources officielles et éviter les annonces publicitaires. Pour les défenseurs, il est crucial de surveiller l’ensemble de la chaîne (annonce, cloaking, requête /config, téléchargement de Bun depuis des domaines suspects) et d’utiliser les indicateurs de compromission fournis par Confiant. Inspecter le trafic vers les domaines malveillants et les charges utiles Base64 dans les réponses /config permet d’intercepter les composants malveillants avant l’assemblage. Il n’existe pas de correctif, car la technique n’exploite pas de vulnérabilités mais des fonctionnalités standard.