SourTrade: Browser kompiliert Malware

Eine neue Dimension der Malware-Verbreitung

Sicherheitsforscher von Confiant haben eine besorgniserregende Entwicklung im Bereich des Malvertising aufgedeckt. Unter dem Namen „SourTrade“ operiert eine Kampagne, die sich durch eine technisch raffinierte Methode auszeichnet: Anstatt fertige Schadsoftware zum Download anzubieten, lassen die Angreifer den Browser des Opfers die Malware erst lokal im Arbeitsspeicher zusammenbauen. Diese Strategie macht es herkömmlichen Sicherheitslösungen extrem schwer, den Angriff bereits im Vorfeld zu erkennen.

Fokus auf Krypto-Investoren

Die seit 2024 aktive Kampagne richtet sich gezielt an Nutzer von Kryptowährungen und Handelsplattformen. Zu den imitierten Diensten zählen bekannte Namen wie TradingView, Solana und Luno. Die Kriminellen agieren dabei international: Die Kampagne ist in 25 Sprachen verfügbar und zielt auf Investoren in zwölf Ländern ab, darunter Regionen in Asien, Afrika, Australien, Südamerika sowie Großbritannien.

Die Funktionsweise: Bauanleitung statt Schadcode

Das Kernproblem bei der Abwehr solcher Angriffe liegt in der Verschleierung. Wenn Sicherheitsforscher die entsprechenden Landing-Pages aufrufen, sehen sie oft nur leere Webseiten. Potenzielle Opfer hingegen werden auf täuschend echte Kopien legitimer Finanzplattformen geleitet. Anstatt dort eine ausführbare Datei herunterzuladen, initiiert die Webseite einen komplexen Prozess:

* **ServiceWorker-Einsatz:** Ein JavaScript-basierter ServiceWorker bereitet die Auslieferung vor.

* **Konfigurationsabfrage:** Über einen „/config“-Pfad erhält der Browser keine Malware, sondern eine Bauanleitung inklusive Templates und Laufzeit-URLs.

* **Kompilierung im Speicher:** Der Browser lädt legitime Komponenten nach, wie etwa eine Bun-Runtime, und kombiniert diese mit verschlüsselten Datenblöcken (Blobs) direkt im Arbeitsspeicher des Nutzers.

Durch dieses Vorgehen wird die signaturbasierte Dateierkennung (Fingerprinting) vollständig umgangen. Da die Datei erst auf dem Zielrechner entsteht, gibt es keine statische Datei, die ein Virenscanner vorab als bösartig einstufen könnte.

Herausforderungen für die Sicherheit

Ein weiteres Problem stellt die individuelle Anpassung dar. Da jeder Nutzer durch die Verwendung von AES-CTR-Bytes eine eigene Signatur erhält, ist die Identifizierung der Malware mittels bekannter Hashwerte kaum möglich. Die Mark-of-the-Web-Signatur, die die Datei nach dem Download erhält, verweist lediglich auf die ursprüngliche Domain, was die Rückverfolgung der einzelnen Bestandteile erschwert.

Hintergrund und Ausblick

Malvertising, also die Verbreitung von Schadsoftware über manipulierte Werbeanzeigen in Suchmaschinen, hat sich in den letzten Jahren zu einer der größten Bedrohungen entwickelt. Bereits im vergangenen Jahr zeigten ähnliche Vorfälle, bei denen Standardbefehle für macOS manipuliert wurden, wie kreativ Angreifer bei der Infiltration vorgehen.

Die Analyse von Confiant liefert zwar konkrete Hinweise auf eine Infektion (Indicators of Compromise, IOC), doch der Schutz gegen derart dynamische Angriffe bleibt schwierig. Nutzer sollten bei der Nutzung von Krypto-Diensten extrem wachsam sein, besonders wenn sie über Suchmaschinen-Anzeigen auf Handelsplattformen gelangen. Die Kombination aus legitimen Dateien und einer im Browser ablaufenden Assemblierung stellt einen Wendepunkt in der Taktik von Cyberkriminellen dar, der die Notwendigkeit für verhaltensbasierte Sicherheitsanalysen weiter erhöht.