Исследователи Confiant обнаружили вредоносную рекламную кампанию SourTrade, в ходе которой браузер жертвы сам собирает исполняемый файл малвари из отдельных компонентов. Кампания маскируется под официальные приложения TradingView, Solana и Luno и в основном нацелена на трейдеров и владельцев криптовалюты.
Специалисты пишут, что эта кампания активна с конца 2024 года и охватывает 12 стран (преимущественно в Азиатско-Тихоокеанском регионе и Латинской Америке), а вредоносные страницы переведены на 25 языков.
Жертвы попадают на сайты SourTrade по рекламным ссылкам, в том числе из поисковой выдачи. Перед показом контента ресурс проверяет посетителя, поэтому ИБ-исследователи, автоматические сканеры и боты видят пустую страницу, а подходящим целям показывают убедительную копию ресурсов TradingView, Solana или Luno.
Главная особенность этой кампании заключается в способе доставки малвари. Вместо готового бинарника сайт передает браузеру жертвы набор компонентов и инструкции для локальной сборки исполняемого файла. Основой служит легитимный рантайм Bun, который поддерживает создание автономных Windows-приложений на базе JavaScriptCore.
Так, сначала вредоносная страница регистрирует ServiceWorker, отвечающий за загрузку файла, а затем создает SharedWorker, который выполняет роль движка для сборки. Он обращается к эндпоинту /config и получает шаблон будущего файла, случайные параметры текущей сессии и закодированные в Base64 структуры PE-файла с вредоносным байткодом.
После этого браузер загружает чистый рантайм Bun со стороннего домена и генерирует поток псевдослучайных данных с помощью AES-CTR. Следуя полученному шаблону, воркер объединяет фрагменты рантайма, случайные байты и подконтрольные атакующим компоненты в готовый файл .exe.
Как отмечают исследователи, параметры /config меняются для каждой сессии, поэтому вредоносные файлы получают разные хеши, хотя вредоносная нагрузка не меняется. Это снижает эффективность сигнатурных средств защиты.
После сборки ServiceWorker передает готовый файл браузеру, а скрытый iframe запускает его загрузку через URL на том же домене. При этом метка Mark of the Web сохраняется, а источником файла в ней указан вредоносный сайт, хотя часть компонентов поступила с другого сервера.
Аналитикам не удалось установить, начинается ли загрузка автоматически или требуется взаимодействие с пользователем. К отчету Confiant приложены три SHA-256-хеша и список из более чем 90 доменов, задействованных в этой кампании. Операторов SourTrade идентифицировать тоже не удалось. Дело в том, что эксперты изучили только механизм доставки и сборки исполняемого файла, но не анализировали его поведение после запуска, поэтому назначение финального пейлоада также остается неизвестным.
Более ранние версии этой кампании использовали опенсорсную библиотеку StreamSaver.js, но в апреле 2026 года злоумышленники отказались от этой внешней зависимости и перешли на собственный ServiceWorker, сохранив прежнюю архитектуру.
SourTrade связывают с вредоносной рекламной кампанией, которую аналитики компании Bitdefender описывали в 2025 году. Тогда под видом TradingView распространялся стилер, известный под названиями JSCEAL и WeevilProxy. Он мог похищать пароли, файлы cookie и данные криптокошельков, перехватывать трафик и нажатия клавиш, а также делать скриншоты.
Исследователи напоминают, что не следует скачивать финансовые и криптовалютные приложения, переходя по рекламным ссылкам: установщики рекомендуется брать только с официальных сайтов, а перед запуском стоит проверить цифровую подпись и информацию об издателе.
