Une nouvelle astuce de malvertising

Une campagne de malvertising suivie sous le nom de SourTrade adopte une approche inhabituelle pour introduire des logiciels malveillants en contournant les outils de sécurité : au lieu de livrer un seul fichier malveillant, elle divise la charge utile en fragments et utilise le navigateur de la victime pour les reconstituer en un exécutable Windows fonctionnel. Selon les rapports sur cette campagne, SourTrade s’appuie sur l’environnement d’exécution JavaScript Bun et sur les processus workers du navigateur pour réaliser cet assemblage, et elle a déjà été observée dans 12 pays.

Le terme malvertising désigne le code malveillant diffusé par le biais de la publicité en ligne, souvent sans que l’utilisateur ait besoin de cliquer sur autre chose qu’une publicité ou un élément de page web d’apparence normale. Ce qui rend SourTrade remarquable, ce n’est pas la méthode de diffusion en elle-même, qui est courante, mais la technique de construction utilisée une fois que le navigateur de la victime commence à traiter le contenu publicitaire.

Comment les malwares assemblés par le navigateur échappent à la détection

La plupart des antivirus et des outils de protection des terminaux reposent fortement sur la détection basée sur les empreintes (hashes) : ils comparent un fichier à des signatures connues de malwares déjà identifiés et répertoriés. Cette méthode fonctionne bien lorsque chaque victime reçoit exactement le même fichier, car une seule empreinte permet de signaler chaque copie.

SourTrade semble spécifiquement conçu pour casser ce modèle. En divisant la charge malveillante en fragments et en utilisant les workers du navigateur — des threads d’arrière-plan qui exécutent des scripts sans bloquer la page principale — pour reconstituer l’exécutable au cours de chaque session de navigation, la campagne génère un fichier unique pour chaque infection. Comme aucun exécutable assemblé ne partage la même empreinte, l’analyse traditionnelle basée sur les signatures a beaucoup moins de matière pour agir. L’utilisation de Bun, un environnement d’exécution JavaScript rapide, permettrait au processus d’effectuer cette construction dans le navigateur de manière suffisamment efficace pour éviter de déclencher des signaux de performance qui alerteraient l’utilisateur ou un outil de sécurité.

Une fois assemblé, le fichier obtenu est un exécutable Windows standard, ce qui signifie qu’il peut exécuter toutes les fonctions malveillantes programmées par ses opérateurs, du vol d’identifiants à l’établissement d’un accès distant persistant sur la machine infectée.

Pourquoi les constructions par session compliquent la détection à grande échelle

La portée signalée de SourTrade dans 12 pays suggère qu’il ne s’agit pas d’un petit test isolé, mais d’une campagne active soutenue par une véritable infrastructure. La génération d’un exécutable unique par session représente un changement tactique important, car elle cible directement le maillon faible de la défense antivirus traditionnelle : l’hypothèse selon laquelle les échantillons de malwares sont statiques et réutilisables d’une victime à l’autre.

Les chercheurs en sécurité contrent généralement ce type d’évasion par la détection comportementale, qui observe ce que fait un fichier plutôt que son apparence, mais cette approche nécessite des outils plus sophistiqués que la simple correspondance d’empreintes. Pour les utilisateurs ordinaires et même pour de nombreuses petites organisations, les logiciels de sécurité installés sur leurs machines peuvent encore s’appuyer massivement sur des bases de signatures, créant une faille que des campagnes comme SourTrade sont conçues pour exploiter. Une fois une machine compromise de cette manière, elle peut également devenir partie intégrante d’un botnet plus vaste, un réseau d’appareils infectés contrôlés à distance sans que leurs propriétaires le sachent, ce qui étend la portée de l’attaquant bien au-delà de la victime initiale.

Ce que cela signifie pour vous

Vous n’avez pas besoin d’être un chercheur en sécurité pour réduire votre risque face à des campagnes comme SourTrade. Le malvertising repose généralement sur le chargement de publicités ou de scripts intégrés sur les pages que vous visitez, souvent via des réseaux publicitaires légitimes qui ont été compromis ou détournés, plutôt que sur des sites web manifestement louches. Cela signifie que le conseil habituel « évitez simplement les sites douteux » n’est pas une protection suffisante à lui seul.

Les extensions de navigateur qui bloquent les scripts publicitaires et les traqueurs tiers réduisent la surface d’exposition à ce type d’attaque, car une grande partie du code malveillant n’a jamais l’occasion de s’exécuter si le contenu publicitaire lui-même est bloqué avant son chargement. Il est également essentiel de maintenir votre navigateur et votre système d’exploitation à jour, car les correctifs neutralisent souvent les mécanismes spécifiques dont les attaquants dépendent pour exécuter des scripts silencieusement en arrière-plan. Et comme un malware unique construit par session est plus difficile à détecter pour les outils basés sur des empreintes, l’utilisation d’un logiciel de sécurité incluant une analyse comportementale ou heuristique, et pas seulement une correspondance de signatures, vous donne une chance nettement meilleure de repérer quelque chose d’anormal avant qu’il ne cause des dégâts.

Points clés à retenir

  • Le malvertising SourTrade assemble un exécutable Windows unique pour chaque session victime, rendant la détection antivirus traditionnelle basée sur les empreintes beaucoup moins efficace.
  • La campagne utilise l’environnement d’exécution JavaScript Bun et les processus workers du navigateur pour effectuer cette construction dans le navigateur.
  • Elle a été observée dans 12 pays, ce qui suggère une infrastructure active et en cours plutôt qu’un test limité.
  • Les extensions de navigateur bloquant les publicités, les mises à jour logicielles rapides et les outils de sécurité dotés de capacités de détection comportementale offrent une protection plus solide qu’une simple analyse basée sur les signatures.
  • Les machines infectées peuvent être intégrées à de plus grands botnets, de sorte que chaque infection comporte des risques qui s’étendent au-delà de la victime d’origine.