Was ist passiert?
Die Malvertising-Kampagne „SourTrade“ nutzt eine innovative Angriffsmethode: Statt komplette Malware-Dateien über URLs zu verteilen, lässt die Operation die Browser der Opfer das finale Windows-Executable selbst zusammensetzen. Als Basis dient dabei die legitime Bun-Runtime. Die Kampagne, die seit Ende 2024 aktiv ist, gibt sich als bekannte Handelsplattformen wie TradingView, Solana und Luno aus, um Privatanleger ins Visier zu nehmen. Confiant deckte die Operation am 23. Juli 2026 auf.
Hintergrund & Bedeutung
Diese Methode ist besonders tückisch, da sie traditionelle Malware-Erkennungssysteme umgeht. Durch die Fragmentierung der Malware und die Nutzung eines legitimen Runtimes wird die Erkennung durch Sicherheitslösungen deutlich erschwert. Die Angreifer profitieren von der hohen Vertrauenswürdigkeit von Bun und dem Social Engineering gegen Trader, die oft unter Zeitdruck agieren. Dies zeigt die zunehmende Sophistikation von Malvertising-Kampagnen, die über Display-Ads und gefälschte Webseiten verbreitet werden.
Empfehlungen für IT-Teams
Sofortmaßnahmen:
- Browser-Isolationstechnologien implementieren, um verdächtige Inhalte zu sandboxen
- Content Security Policy (CSP) verstärken und Ad-Blocker erzwingen
- Endpoint Detection and Response (EDR)-Lösungen aktivieren, um unerwartete Prozessausführungen zu erkennen
- Mitarbeiter und Kunden vor gefälschten Trading-Plattformen warnen
- Browser-Updates und Runtime-Versionen kontinuierlich überwachen
Fazit
SourTrade demonstriert, wie Angreifer traditionelle Sicherheitsmaßnahmen durch dezentralisierte Malware-Zusammensetzung umgehen. Organisationen müssen ihre Verteidigungsstrategien anpassen und mehrschichtige Schutzmaßnahmen implementieren.
Quelle: Original Artikel