Sun, 26 Jul 2026
← VoltarUma operação de malvertising chamada SourTrade está fazendo com que os navegadores das vítimas construam eles próprios o executável final do Windows, usando um tempo de execução Bun legítimo como
Uma operação de malvertising chamada SourTrade está fazendo com que os navegadores das vítimas construam eles próprios o executável final do Windows, usando um tempo de execução Bun legítimo como base, em vez de servir um arquivo malicioso completo a partir de uma URL fixa. A Confiant, que detalhou a campanha em 23 de julho de 2026, disse que opera desde o final de 2024 e se faz passar por TradingView, Solana e Luno para atingir comerciantes de varejo e investidores em criptomoedas em 12 países e em 25 idiomas. Suas páginas de destino identificam os visitantes, mostrando aos pesquisadores e bots suspeitos uma página vazia, enquanto os alvos selecionados recebem uma cópia convincente do serviço personificado. A defesa contra isso é a comum: instalar software de negociação e carteira a partir do próprio site do fornecedor, não a partir de um anúncio.
A cadeia documentada não depende de uma vulnerabilidade do navegador nem remove o Mark of the Web (MotW). A análise da Confiant documenta a entrega, e não a execução, do arquivo dentro do navegador. A empresa disse ao The Hacker News que a campanha é baseada em cliques e não em um redirecionamento forçado: a vítima clica no anúncio, que carrega a página maliciosa, e clica novamente para iniciar o download. A landing page começa a preparar o caminho de entrega sem esperar por um clique de download.
Ele registra um ServiceWorker com escopo de página em /sw.js e, em seguida, cria um SharedWorker a partir de JavaScript já incorporado na página, para que a origem do trabalhador nunca apareça como uma busca separada. O SharedWorker solicita /config, que retorna um modelo, uma URL de tempo de execução secundária e valores aleatórios específicos da sessão. O navegador recupera e descompacta um tempo de execução Bun limpo desse segundo domínio, purelogicbox[.]org na resposta de amostra publicada. Os blobs Base64 na configuração fornecem o cabeçalho Portable Executable (PE), a tabela de seção e uma seção .bun contendo bytecode JavaScriptCore malicioso para app.js.
Bun é executado no mecanismo JavaScriptCore da Apple e suporta legitimamente a compilação de aplicativos e bytecode em executáveis autônomos do Windows. O trabalhador então gera um grande fluxo de bytes pseudoaleatórios usando AES no modo contador (AES-CTR). Em seguida, ele segue o modelo fornecido como uma receita de cópia de bytes, combinando intervalos selecionados do tempo de execução do Bun, do fluxo gerado e do material executável controlado pelo invasor. Cada vítima pode receber um arquivo montado diferente: girar a semente e o tamanho em cada resposta /config altera o hash enquanto mantém o código de carga executável.
“Nenhum malware final existe na rede”, escreveu Michael Steele, da equipe de inteligência de ameaças da Confiant. Nenhum binário completo o faz, embora as estruturas PE e o bytecode cheguem como Base64 em/config. Depois de montada, a página passa o executável para o ServiceWorker como um fluxo legível. Um iframe oculto navega para uma URL de mesma origem e o trabalhador retorna os bytes gerados com um cabeçalho de anexo Content-Disposition.
O registro MotW resultante identifica a página de destino como a fonte de download, não o domínio separado que forneceu o tempo de execução do Bun. O próprio MotW permanece presente. O método evoluiu da atividade rastreada pelo Confiant até 30 de abril de 2026, quando as páginas carregaram StreamSaver.js, uma biblioteca de download por streaming de código aberto, do endereço GitHub Pages de seu autor. Isso deixou o caminho de download registrado apontando para o URL do GitHub da biblioteca.
As páginas atuais mantêm sua arquitetura de streaming, incluindo o streamsaver: nomes de mensagens, mas não os buscam mais no GitHub. A Bitdefender documentou o cluster de malvertising TradingView relacionado em setembro de 2025, identificando sua carga final enquanto o ladrão Check Point rastreia como JSCEAL e WithSecure como WeevilProxy. Confiant identifica campanhas compartilhadas e características executáveis, mas não demonstra que as três amostras publicadas carregam essa carga útil. O relatório dizia originalmente que o Bitdefender encontrou um executável Bun modificado neste cluster.
O Hacker News não encontrou nenhuma menção a Bun na postagem de setembro de 2025 com links para Confiant, que nomeia sua detecção de carregador Variant.DenoSnoop.Marte.1. Roubo de credenciais, keyloggi ng, interceptação de tráfego, roubo de carteira e recursos de acesso remoto documentados na campanha anterior, portanto, ainda não podem ser atribuídos aos arquivos atuais. Confiant disse ao The Hacker News que sua equipe revisou o artigo do Bitdefender novamente e confirmou que não há menção a Bun nele. A empresa alterou seu relatório em 26 de julho e adicionou uma correção dizendo que uma versão anterior havia descrito incorretamente a pesquisa da Bitdefender como uma referência ao Bun.
Não há patch de software a ser aplicado. A evasão é mais restrita do que parece à primeira vista. A própria seção de implicações práticas do Confiant coloca isso de forma mais modesta: compilações exclusivas por sessão limitam o valor de detecções simples baseadas em hash. O material PE e o bytecode controlados pelo invasor ainda atravessam a rede.
Os defensores devem examinar toda a cadeia, desde a referência do anúncio e a página de destino ocultada até a solicitação /config, a busca do tempo de execução do domínio secundário e o download do ServiceWorker, em vez de tratar qualquer rede ou artefato de arquivo como decisivo. A Confiant publicou três hashes SHA-256 e uma lista de domínios maliciosos, 96 pela contagem do The Hacker News. A empresa não nomeou nenhum ator e interrompeu sua análise no momento em que o arquivo foi parar no disco. Saiba como 300 líderes empresariais estão gerenciando riscos de código aberto orientados por IA, remediação de dívidas e governança em escala.
Aprenda como controlar riscos, proteger software criado por IA e manter o controle à medida que o desenvolvimento avança na velocidade da máquina. Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.