SourTrade: il malvertising che assembla il malware direttamente nel browser

Introduzione

L’operazione di malvertising “SourTrade”, attiva da fine 2024, rappresenta un salto di qualità nell’evasione delle difese: invece di distribuire un file malevolo già pronto, induce il browser della vittima ad assemblare localmente un eseguibile per Windows. Prendendo di mira investitori retail e trader di criptovalute, la campagna ha impersonato marchi noti come TradingView, Solana e Luno, raggiungendo 12 Paesi e supportando 25 lingue. L’analisi pubblicata da Confiant il 23 luglio 2026 ha fatto luce sulla sofisticata catena di attacco, che sfrutta in modo creativo ServiceWorker, SharedWorker e il runtime JavaScript Bun.

Analisi tecnica

La catena inizia con annunci pubblicitari malevoli che reindirizzano a una landing page dotata di fingerprinting e cloaking: ai bot e ai ricercatori vengono restituite pagine vuote, mentre i browser reali ricevono il codice malevolo. Dopo la profilazione, la pagina recupera da un endpoint /config un template, il dominio da cui scaricare il runtime Bun (ad esempio purelogicbox[.]org), valori casuali e sezioni PE codificate in Base64. Un ServiceWorker e uno SharedWorker generano quindi un flusso pseudo‑casuale AES‑CTR, combinano i blocchi secondo il template ricevuto e producono un binario unico per ogni sessione. L’eseguibile finale, che unisce il runtime Bun legittimo a componenti PE e bytecode JavaScriptCore malevoli, viene servito tramite un iframe nascosto con l’header Content‑Disposition.

Questa tecnica si è evoluta rispetto a una fase precedente, tracciata fino al 30 aprile 2026, quando il download sfruttava la libreria StreamSaver.js ospitata su GitHub Pages. L’assenza di exploit e il mancato utilizzo di tecniche per rimuovere il Mark of the Web (MotW) rendono la minaccia ancora più sfuggente, perché sfrutta solo funzionalità legittime dei browser e del runtime Bun. Il 26 luglio 2026 Confiant ha corretto una precedente indicazione: il report di Bitdefender del settembre 2025 su un cluster correlato non menziona Bun e, pertanto, non è confermato che i campioni attuali contengano il payload JSCEAL/WeevilProxy (uno stealer con keylogging, furto di credenziali, intercettazione del traffico e accesso remoto). L’analisi di Confiant si ferma al momento del download, per cui le reali capacità malevole del binario restano da verificare.

Impatto

Il potenziale impatto è elevato, in linea con i payload documentati da Bitdefender: furto di credenziali, chiavi di wallet per criptovalute, keylogging, intercettazione del traffico e accesso remoto. La generazione di un binario unico per sessione limita fortemente i rilevamenti basati su hash, ma le componenti malevoli – le sezioni PE e il bytecode – transitano comunque in rete e possono essere intercettate analizzando le richieste /config e lo scaricamento del runtime da domini sospetti. La campagna utilizza 96 domini malevoli (pubblicati come indicatori di compromissione) e opera in un contesto sensibile come quello degli investimenti online.

Mitigazione

Per gli utenti: scaricare wallet, piattaforme di trading e qualsiasi software finanziario esclusivamente dai siti ufficiali dei produttori, evitando di cliccare su annunci pubblicitari anche se apparentemente legittimi.

Per i difensori: è fondamentale monitorare l’intera catena di attacco, dal referrer dell’annuncio alla landing page che pratica cloaking, alla richiesta /config, al download del runtime da domini sospetti e all’attivazione del ServiceWorker. Confiant ha diffuso indicatori di compromissione (3 hash SHA‑256 e 96 domini) che vanno integrati nei sistemi di rilevamento. Inoltre, è consigliabile ispezionare il traffico verso i domini malevoli e analizzare i payload Base64 contenuti nelle risposte /config: anche se il binario finale è unico, le componenti trasportate sono rilevabili a livello di rete. Non esiste una patch software poiché la minaccia abusa di funzionalità legittime del browser e di Bun.

FAQ

Che cos’è la campagna SourTrade? È un’operazione di malvertising attiva da fine 2024 che impersona piattaforme come TradingView, Solana e Luno per colpire investitori e trader di criptovalute. A differenza delle campagne tradizionali, non distribuisce un file malevolo già pronto, ma induce il browser della vittima a costruire localmente un eseguibile Windows, combinando un runtime Bun legittimo con componenti PE e bytecode malevoli.

Come riesce a creare un eseguibile unico per ogni vittima? Dopo il fingerprinting, la landing page recupera da un endpoint /config un template, il dominio per Bun, valori casuali e sezioni PE in Base64. Un ServiceWorker e uno SharedWorker usano un flusso pseudo‑casuale AES‑CTR per combinare i blocchi secondo il template, generando un binario irripetibile che viene poi scaricato tramite iframe nascosto.

Quali sono le contromisure più efficaci? Gli utenti devono installare software finanziario solo da fonti ufficiali ed evitare annunci pubblicitari. Per i difensori, è cruciale monitorare l’intera catena (annuncio, cloaking, richiesta /config, download di Bun da domini sospetti) e utilizzare gli indicatori di compromissione forniti da Confiant. Ispezionare il traffico verso i domini malevoli e i payload Base64 nelle risposte /config permette di intercettare le componenti malevole prima dell’assemblaggio. Non esistono patch, poiché la tecnica non sfrutta vulnerabilità ma funzionalità standard.