LONDON (IT BOLTWISE) – Eine Malvertising-Kampagne namens SourTrade zwingt Webbrowser dazu, den finalen Windows-Executable selbst zusammenzubauen. Statt eine einzelne Schaddatei von einer festen URL auszuliefern, nutzt sie eine legitime Bun-Umgebung als Ausgangsbasis. Damit entstehen pro Sitzung unterschiedlich konfigurierte Builds, die einfache Hash-Detektionen aushebeln. Gleichzeitig bleibt die Umgehung schmaler als sie wirkt, weil für die Kette weiterhin mehrere Netzwerk- und Delivery-Schritte sichtbar sind.
Bei SourTrade geht es nicht um eine einzelne, “fertige” Schaddatei, sondern um eine Lieferkette, die das Opfer-Browser-Frontend in die Verantwortung nimmt. Die Kampagne nutzt dafür eine Malvertising-Ansprache, die speziell auf Retail-Trader und Krypto-Investoren zielt und dabei mehrere Marken- bzw. Produktidentitäten imitiert. Laut einer Analyse von Confiant richtet sich die Social-Tarnung an Nutzer über 12 Länder und in 25 Sprachen, wobei im beschriebenen Muster TradingView, Solana und Luno als Aushängeschilder dienen. Die entscheidende technische Idee: Der eigentliche Windows-Code soll nicht als ein konsistentes Binärpaket über das Netz “durchreichen” werden, sondern erst nach mehreren Zwischenschritten im Kontext der besuchten Landingpage entstehen.
Das Delivery-Design setzt dabei auf eine typische Kombination aus Cloaking und verteilten Komponenten, ohne eine Browser-Schwachstelle vorauszusetzen. Confiant beschreibt, dass die Landingpages Besucher “fingerprinten” und mutmaßliche Forscher oder Bots auf einer leeren Seite enden lassen, während ausgewählte Ziele eine überzeugende Kopie der vermeintlichen Dienste erhalten. In der beschriebenen Kette wird auch weder eine bekannte Execution-Lücke im Browser behauptet noch wird das Mark of the Web (MotW) entfernt; der Mechanismus zielt stattdessen darauf, die nächste Stufe möglichst “unauffällig” wirken zu lassen. Praktisch bleibt die Standard-Hygiene wirksam: Handels- und Wallet-Software sollten ausschließlich von den Anbieter-Webseiten installiert werden, nicht aus Werbeanzeigen oder über die im Webkontext ausgelösten Downloads.
Technisch betrachtet beginnt die Landingpage bereits damit, den Pfad zur späteren Datei-Erzeugung vorzubereiten, ohne auf einen Klick zu warten. Laut Analyse registriert die Seite einen seitenbezogenen ServiceWorker unter /sw.js und konstruiert anschließend einen SharedWorker aus JavaScript, das bereits in der Seite steckt; dadurch taucht die Worker-Quelle nicht als separater Fetch im Netzwerkverkehr auf. Der SharedWorker fordert dann /config an, wobei die Antwort ein Template, eine sekundäre Runtime-URL sowie session-spezifische Zufallswerte liefert. In diesem Template-Setup werden Base64-Blobs verwendet, die unter anderem PE-Header-Informationen, die Section-Tabelle und eine .bun-Sektion enthalten; diese Sektion trägt bösartige JavaScriptCore-Bytecode-Materialien, die für app.js bestimmt sind.
Der zentrale “Legitimitätsanker” ist die Bun-Runtime: Der Browser lädt eine “saubere” Bun-Distribution von einem zweiten Domain-Scope nach (im veröffentlichten Beispiel wird dafür purelogicbox[.]org genannt), und diese Runtime läuft im legitimen Rahmen der Apple-JavaScriptCore-Engine. Bun kann in seinem normalen Funktionsumfang Anwendungen und sogar Bytecode in eigenständige Ausführungsartefakte kompilieren; genau daran setzt SourTrade an, nur eben mit attacker-gesteuerten Inputs. Anschließend erzeugt der Worker mit AES im Counter-Mode (AES-CTR) einen großen pseudorandom Byte-Stream. Danach folgt er einem vom Angriff gelieferten “Byte-Copy-Rezept”, das definierte Bereiche aus der Bun-Runtime, den erzeugten Byte-Strom und zusätzliches, vom Angreifer kontrolliertes PE-Material miteinander kombiniert. Das Ergebnis ist pro Opfer nicht zwingend identisch: Durch Seed- und Größenrotation in jeder /config-Antwort ändern sich Hashes, während die zugrunde liegende Schadlogik als Bytecode- und Strukturbaustein erhalten bleibt. Confiant fasst das sinngemäß als Prinzip zusammen: Es existiert auf dem Netzwerkweg kein “fertiges” Malware-Binary, sondern nur die notwendigen Komponenten und Bausteine.
Erst wenn die generierten Bytes vorliegen, übergibt die Seite die Datei an den ServiceWorker als lesbaren Stream. Eine versteckte iframe navigiert zu einer URL innerhalb derselben Origin, und der Worker liefert die generierten Bytes mit einem Content-Disposition-Attachment-Header aus. Dabei entsteht ein wichtiger Sichtbarkeitsaspekt für Verteidiger: Das MotW wird laut Analyse weiterhin so gesetzt, dass die Landingpage als Downloadquelle gilt, nicht die sekundäre Domain, von der die Bun-Runtime nachgeladen wurde; MotW bleibt also vorhanden. Ebenfalls relevant ist die Angriffs-Evolution, die Confiant aus früheren Beobachtungen ableitet: Ab dem Zeitraum bis zum 30. April 2026 tauchte auf den Seiten StreamSaver.js als Streaming-Download-Baustein auf, geladen von GitHub Pages des Maintainers. Confiant zufolge behielten die aktuellen Seiten eine ähnliche Streaming-Architektur bei, einschließlich der streamsaver-Message-Namen, verzichten aber im beschriebenen Stand auf den Fetch von GitHub. Damit verschiebt sich zwar der “sichtbare” Pfad für einzelne Artefakte, nicht aber das grundsätzliche Muster der seiteninternen Delivery.
Ein weiterer Kontextpunkt ist die Zuordnung über frühere Kampagnencluster. Bitdefender hatte nach Confiant-Referenzierung im September 2025 einen verwandten TradingView-Malvertising-Cluster dokumentiert und dabei die finalen Payloads benannt, die in anderen Umgebungen als JSCEAL (Check Point) und WeevilProxy (WithSecure) auftauchten. Confiant wiederum identifiziert gemeinsame Kampagnenmerkmale und ausführbare Eigenschaften, zeigt jedoch nicht eindeutig, dass die drei später veröffentlichten Samples aus derselben Lieferung dieselbe Payload tragen. Entsprechend sei die Bandbreite der Schutzwirkungen, die die frühere Kampagne umfasste (etwa Credential-Theft, Keylogging, Traffic-Interception, Wallet Theft und Remote-Access-Funktionalitäten), für die aktuelle Datei-Kette noch nicht belastbar zuzuordnen. Auch im Kontrast zur Darstellung in einem weiteren Bericht wird erwähnt, dass dort kein klarer Bun-Bezug genannt wurde, sondern ein Loader-Detection-Name (DenoSnoop.Marte.1) im Fokus stand. Confiant habe zudem die Analyse beim Moment beendet, in dem die Datei auf dem Datenträger landet, ohne weiter zu belegen, welche Autostarts oder Klickabhängigkeiten für den Start des finalen Downloads gelten.
Für die Verteidigung folgt daraus eine klare Konsequenz: Es gibt keinen “einzigen” Patch-Punkt, weil der Mechanismus nicht in erster Linie auf eine ausnutzbare Browser-Schwachstelle oder auf MotW-Entfernung angewiesen ist. Stattdessen ist die Umgehung breiter im Delivery-Design, aber schmaler in der Gesamtbetrachtung: Unique-per-session Builds reduzieren den Wert einfacher Hash-basierter Signaturen, doch die Bytecode- und PE-Bausteine sowie die Netzwerkkette bleiben als Indikatoren erhalten. Confiant rät entsprechend, nicht auf ein einzelnes Artefakt zu starren, sondern die komplette Kette zu prüfen: von der Ad-Referral über die gecloakte Landingpage, weiter über die /config-Anfrage, den Nachladen der sekundären Runtime-Domain und schließlich die ServiceWorker-basierte Downloadauslieferung. Werden diese Verbindungen in SIEM- oder Proxy-Analysen zusammengeführt, lässt sich das Muster auch dann erkennen, wenn der finale Hash pro Sitzung variiert. Confiant stellt außerdem drei SHA-256-Hashes und eine Liste bösartiger Domains bereit; selbst wenn die Hashes nicht als universeller Trigger reichen, liefern sie für die forensische Rückverfolgung und für IOC-Triage einen Anfangspunkt, bevor man tiefer in die Bytecode-Bausteine und die Delivery-Logik eintaucht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SourTrade: Malvertising baut Windows-Executables im Browser mit Bun-Runtime-Bausteinen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SourTrade: Malvertising baut Windows-Executables im Browser mit Bun-Runtime-Bausteinen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SourTrade: Malvertising baut Windows-Executables im Browser mit Bun-Runtime-Bausteinen« bei Google Deutschland suchen, bei Bing oder Google News!