Chiến dịch malvertising SourTrade tạo file Windows ngay trên trình duyệt
"A malvertising campaign dubbed SourTrade delivers malware in pieces and has the victim's browser assemble a Windows executable at runtime using a legitimate Bun runtime, rather than serving a complete binary from a single URL. The chain uses cloaked landing pages, ServiceWorker/SharedWorker logic, and per-session configuration to generate unique hashes; no browser vulnerability or MotW bypass is involved, and no software patch is available because the issue is an attack technique rather than a product flaw."
Tác động lớn vì kỹ thuật lắp ráp binary theo phiên làm giảm hiệu quả phát hiện dựa trên hash tĩnh; đồng thời vẫn có bytecode/PE tải qua mạng và tạo MotW từ trang đích. Điểm then chốt: không cần lỗ hổng trình duyệt, hash thay đổi theo session, và MotW không bị loại bỏ.
Nguy cơ ảnh hưởng người dùng và quy trình do giả mạo dịch vụ tài chính/crypto, có thể dẫn tới tổn thất tài sản và gián đoạn vận hành nếu thiết bị bị xâm nhập. Điểm then chốt: nhắm tới nhà đầu tư bán lẻ qua landing cloaked, và chuỗi tải xuống qua ServiceWorker gây khó khăn cho kiểm soát theo artifact đơn lẻ.
Một chiến dịch malvertising có tên SourTrade được cho là khiến trình duyệt của nạn nhân tự lắp ráp file thực thi Windows thay vì tải trực tiếp một binary hoàn chỉnh từ một URL cố định. Theo phân tích của Confiant (công bố 23/7/2026), chiến dịch hoạt động từ cuối năm 2024 và giả mạo TradingView, Solana và Luno để nhắm tới nhà đầu tư bán lẻ tại 12 quốc gia với 25 ngôn ngữ.
Các trang đích thực hiện fingerprinting: với một số đối tượng bị nghi là bot hoặc nhà nghiên cứu, trang trả về rỗng; còn với mục tiêu chọn lọc, trang hiển thị nội dung thuyết phục của dịch vụ giả mạo. Chuỗi tấn công không dựa vào lỗ hổng trình duyệt và không liên quan bypass Mark of the Web (MotW). Confiant mô tả quá trình phân phối, không khẳng định việc tải xuống có tự động hay cần thao tác.
Cơ chế chính gồm: đăng ký ServiceWorker tại /sw.js, tạo SharedWorker từ mã nhúng trong trang, sau đó gọi /config để nhận template, URL runtime phụ và giá trị ngẫu nhiên theo phiên. Trình duyệt tải một runtime Bun hợp lệ từ miền phụ, giải nén và dùng dữ liệu Base64 để dựng cấu trúc PE cùng bytecode JavaScriptCore. Worker tạo luồng byte giả ngẫu nhiên bằng AES-CTR, rồi ghép theo “recipe” do kẻ tấn công cung cấp để tạo file khác nhau theo từng phiên (hash thay đổi).
Khuyến nghị: rà soát toàn bộ chuỗi từ quảng cáo → landing page cloaked → /config → fetch runtime miền phụ → ServiceWorker trả file; không coi một artifact đơn lẻ là đủ để kết luận. Confiant công bố 3 SHA-256 và danh sách domain độc hại.