Ein neuer Malvertising-Trick

Eine unter dem Namen SourTrade verfolgte Malvertising-Kampagne verfolgt einen ungewöhnlichen Ansatz, um Malware an Sicherheitstools vorbeizuschleusen: Statt eine einzelne schädliche Datei auszuliefern, zerlegt sie die Nutzlast in Fragmente und lässt den Browser des Opfers diese wieder zu einer funktionsfähigen Windows-Executable zusammensetzen. Berichten zufolge setzt SourTrade dabei auf die Bun-JavaScript-Laufzeitumgebung sowie Browser-Worker-Prozesse, um diesen Zusammenbau zu bewerkstelligen. Die Kampagne wurde bereits in zwölf Ländern beobachtet.

Der Begriff Malvertising bezeichnet schädlichen Code, der über Online-Werbung ausgeliefert wird – oft ohne dass der Nutzer mehr tun muss, als eine normale Anzeige oder ein Webseitenelement anzusehen. Was SourTrade bemerkenswert macht, ist nicht die Zustellmethode an sich, die weit verbreitet ist, sondern die Konstruktionstechnik, die zum Einsatz kommt, sobald der Browser eines Opfers den Werbeinhalt verarbeitet.

Wie im Browser zusammengebaute Malware Erkennung umgeht

Die meisten Antiviren- und Endpoint-Protection-Tools verlassen sich stark auf hashbasierte Erkennung: Sie vergleichen eine Datei mit bekannten Signaturen bereits identifizierter und katalogisierter Malware. Das funktioniert gut, wenn jedes Opfer genau dieselbe Datei erhält, denn ein einziger Hash kann jede Kopie davon kennzeichnen.

SourTrade scheint gezielt darauf ausgelegt zu sein, dieses Modell auszuhebeln. Indem die schädliche Nutzlast in Einzelteile zerlegt und mithilfe von Browser-Workern – Hintergrund-Threads, die Skripte ausführen, ohne die Hauptseite zu blockieren – innerhalb jeder Browser-Sitzung des Opfers wieder zu einer ausführbaren Datei zusammengesetzt wird, erzeugt die Kampagne für jede einzelne Infektion eine einzigartige Datei. Da keine zwei dieser zusammengebauten Executables denselben Hash teilen, hat die traditionelle signaturbasierte Prüfung deutlich weniger Ansatzpunkte. Der Einsatz von Bun, einer schnellen JavaScript-Laufzeitumgebung, soll diesen Zusammenbau im Browser effizient genug machen, um auffällige Leistungseinbußen zu vermeiden, die einen Nutzer oder ein Sicherheitstool alarmieren könnten.

Nach dem Zusammenbau ist die resultierende Datei eine gewöhnliche Windows-Executable und kann somit jede schädliche Funktion ausführen, die ihre Betreiber hineinprogrammiert haben – vom Diebstahl von Zugangsdaten bis hin zur Einrichtung eines dauerhaften Fernzugriffs auf den infizierten Rechner.

Warum sitzungsindividuelle Builds für die Erkennung im großen Maßstab relevant sind

Die gemeldete Verbreitung von SourTrade über zwölf Länder deutet darauf hin, dass es sich nicht um einen kleinen, isolierten Test handelt, sondern um eine aktive Kampagne mit echter Infrastruktur. Die sitzungsweise Erzeugung von Executables ist eine bedeutsame Taktikverschiebung, weil sie direkt auf die schwächste Stelle der traditionellen Antiviren-Abwehr zielt: die Annahme, dass Malware-Beispiele statisch und über mehrere Opfer hinweg wiederverwendbar sind.

Sicherheitsforscher begegnen solchen Umgehungen normalerweise mit Verhaltenserkennung – sie beobachten, was eine Datei tut, statt wie sie aussieht. Dieser Ansatz erfordert jedoch ausgereiftere Werkzeuge als einfachen Hash-Abgleich. Bei Privatanwendern und selbst in vielen kleineren Organisationen stützt sich die installierte Sicherheitssoftware unter Umständen immer noch stark auf Signaturdatenbanken – eine Lücke, die Kampagnen wie SourTrade gezielt ausnutzen. Ist ein Rechner auf diese Weise kompromittiert, kann er zudem Teil eines größeren Botnetzes werden – einem Netzwerk infizierter Geräte, die ohne Wissen ihrer Besitzer ferngesteuert werden und die Reichweite des Angreifers weit über ein einzelnes Opfer hinaus ausdehnen.

Was das für Sie bedeutet

Sie brauchen kein Sicherheitsforscher zu sein, um Ihr Risiko durch Kampagnen wie SourTrade zu verringern. Malvertising funktioniert in der Regel über Werbeanzeigen oder eingebettete Skripte, die auf von Ihnen besuchten Seiten geladen werden – häufig über legitime Werbenetzwerke, die kompromittiert oder missbraucht wurden, und nicht unbedingt über offensichtlich zwielichtige Webseiten. Deshalb reicht der übliche Rat, „meiden Sie einfach dubiose Seiten“, nicht mehr als alleiniger Schutz.

Browser-Erweiterungen, die Werbeskripte und Drittanbieter-Tracker blockieren, verringern die Angriffsfläche für diese Art von Attacke, da ein Großteil der schädlichen Logik gar nicht erst ausgeführt werden kann, wenn der Werbeinhalt bereits vor dem Laden blockiert wird. Auch halten Sie Ihren Browser und Ihr Betriebssystem auf dem neuesten Stand: Patches schließen oft genau die Mechanismen, auf die Angreifer angewiesen sind, um Skripte unbemerkt im Hintergrund auszuführen. Und weil sitzungsindividuell erstellte Malware für hashbasierte Tools schwerer zu fassen ist, bietet Sicherheitssoftware, die Verhaltens- oder heuristische Analyse statt reinem Signaturabgleich beinhaltet, eine deutlich bessere Chance, etwas Ungewöhnliches zu entdecken, bevor es Schaden anrichtet.

Wichtige Erkenntnisse

  • SourTrade-Malvertising setzt pro Opfersitzung eine einzigartige Windows-Executable zusammen und macht damit herkömmliche hashbasierte Antiviren-Erkennung weit weniger wirksam.
  • Die Kampagne nutzt die Bun-JavaScript-Laufzeitumgebung und Browser-Worker-Prozesse für diesen In-Browser-Zusammenbau.
  • Sie wurde in zwölf Ländern beobachtet, was auf eine aktive, laufende Infrastruktur hindeutet – und nicht nur auf einen begrenzten Test.
  • Werbeblocker-Browsererweiterungen, zeitnahe Software-Updates und Sicherheitstools mit Verhaltenserkennung bieten stärkeren Schutz als rein signaturbasiertes Scannen.
  • Infizierte Rechner können in größere Botnetze eingegliedert werden, sodass einzelne Infektionen Risiken mit sich bringen, die über das ursprüngliche Opfer hinausgehen.