En Ny Slags Malvertisingtrick

En malvertisingkampagne, der spores som SourTrade, bruger en usædvanlig metode til at smugle malware forbi sikkerhedsværktøjer: I stedet for at levere en enkelt ondsindet fil, opdeles nyttelasten i fragmenter, og offerets egen browser samler dem til en fungerende Windows-eksekverbar. Ifølge rapporterne benytter SourTrade Bun JavaScript-runtime sammen med browser worker-processer til at håndtere denne samling, og kampagnen er allerede observeret i 12 lande.

Udtrykket malvertising henviser til ondsindet kode, der leveres via onlineannoncering, ofte uden at brugeren behøver at klikke på andet end en almindelig annonce eller et webelement. Det, der gør SourTrade bemærkelsesværdig, er ikke selve leveringsmetoden, som er almindelig, men den konstruktionsteknik, der bruges, når offerets browser begynder at behandle annonceindholdet.

Hvordan Browser-Samlet Malware Sniger sig Uden om Registrering

De fleste antivirus- og endpoint-beskyttelsesværktøjer baserer sig i høj grad på hash-baseret registrering: de sammenligner en fil med kendte signaturer af malware, der allerede er identificeret og katalogiseret. Det fungerer godt, når alle ofre modtager nøjagtig den samme fil, fordi en enkelt hash kan markere hver eneste kopi af den.

SourTrade ser ud til at være designet specifikt til at bryde den model. Ved at opdele den ondsindede nyttelast i stykker og bruge browser workers – baggrundstråde, der kører scripts uden at blokere hovedsiden – til at rekonstruere den eksekverbare fil i hver enkelt browser-session, producerer kampagnen en unik fil ved hver eneste infektion. Da ingen to samlede eksekverbare filer deler den samme hash, har traditionel signaturbaseret scanning langt mindre at arbejde med. Brugen af Bun, en hurtig JavaScript-runtime, hjælper angiveligt processen med at udføre denne in-browser-konstruktion effektivt nok til ikke at udløse åbenlyse præstationsadvarsler, der kunne afsløre det over for en bruger eller et sikkerhedsværktøj.

Når den er samlet, er den resulterende fil en standard Windows-eksekverbar, hvilket betyder, at den kan udføre den ondsindede funktion, dens operatører har indbygget – lige fra legitimeringstyveri til at etablere vedvarende fjernadgang på den inficerede maskine.

Hvorfor Per-Session-Builds Er Betydningsfulde for Registrering i Større Skala

SourTrades rapporterede udbredelse i 12 lande tyder på, at der ikke er tale om en lille, isoleret test, men en aktiv kampagne med reel infrastruktur bag. Eksekverbar generering per session er et markant taktikskifte, fordi det direkte rammer det svageste led i traditionelt antivirusforsvar: antagelsen om, at malware-prøver er statiske og kan genbruges på tværs af ofre.

Sikkerhedsforskere imødegår sædvanligvis denne form for undvigelse med adfærdsbaseret registrering – ved at se på, hvad en fil gør, frem for hvordan den ser ud – men den tilgang kræver mere sofistikerede værktøjer end simpel hash-matching. For almindelige brugere og selv mange mindre organisationer kan sikkerhedssoftwaren på deres maskiner stadig være stærkt afhængig af signaturdatabaser, hvilket efterlader et hul, som kampagner som SourTrade er bygget til at udnytte. Når en maskine er kompromitteret på denne måde, kan den også blive en del af et større botnet, et netværk af inficerede enheder, der fjernstyres uden ejernes viden, hvilket udvider angriberens rækkevidde langt ud over et enkelt offer.

Hvad Det Betyder for Dig

Du behøver ikke være sikkerhedsforsker for at reducere din risiko for kampagner som SourTrade. Malvertising afhænger generelt af, at annoncer eller indlejrede scripts indlæses på de sider, du besøger, ofte via legitime annoncenetværk, der er blevet kompromitteret eller misbrugt, snarere end åbenlyst lyssky websteder. Det betyder, at det sædvanlige råd om “bare undgå lyssky sider” ikke er tilstrækkelig beskyttelse i sig selv.

Browserudvidelser, der blokerer annoncescripts og tredjepartstrackere, reducerer den angrebsflade, der er tilgængelig for denne type angreb, da meget af den ondsindede logik aldrig får mulighed for at køre, hvis annonceindholdet blokeres, inden det indlæses. Det er også vigtigt at holde din browser og dit operativsystem opdateret, da opdateringer ofte lukker de specifikke mekanismer, som angribere er afhængige af for at køre scripts lydløst i baggrunden. Og fordi unik, per-session-bygget malware er sværere for hash-baserede værktøjer at fange, giver det dig en mærkbart bedre chance for at opdage noget usædvanligt, før det gør skade, hvis du stoler på sikkerhedssoftware, der omfatter adfærds- eller heuristisk analyse – ikke kun signaturmatching.

Nøglepunkter

  • SourTrade malvertising samler en unik Windows-eksekverbar per offersession, hvilket gør traditionel hash-baseret antivirusregistrering langt mindre effektiv.
  • Kampagnen bruger Bun JavaScript-runtime og browser worker-processer til at udføre denne in-browser-konstruktion.
  • Den er observeret i 12 lande, hvilket tyder på aktiv, løbende infrastruktur snarere end en begrænset test.
  • Annonceblokerende browserudvidelser, rettidige softwareopdateringer og sikkerhedsværktøjer med adfærdsbaseret registrering giver stærkere beskyttelse end signaturbaseret scanning alene.
  • Inficerede maskiner kan indgå i større botnet, så individuelle infektioner medfører risici, der rækker ud over det oprindelige offer.