Um Novo Tipo de Artimanha de Malvertising

Uma campanha de malvertising rastreada como SourTrade está adotando uma abordagem incomum para introduzir malware furtivamente, burlando as ferramentas de segurança: em vez de entregar um único arquivo malicioso, ela divide a carga útil em fragmentos e faz o próprio navegador da vítima juntá-los novamente em um executável funcional do Windows. De acordo com relatos sobre a campanha, SourTrade utiliza o runtime JavaScript Bun juntamente com processos de worker do navegador para realizar essa montagem, e já foi observada operando em 12 países.

O termo malvertising refere-se a código malicioso distribuído por meio de publicidade online, muitas vezes sem exigir que o usuário clique em algo além de um anúncio ou elemento de página com aparência normal. O que torna a SourTrade notável não é o método de entrega em si, que é comum, mas a técnica de construção usada quando o navegador da vítima começa a processar o conteúdo do anúncio.

Como Malware Montado no Navegador Evita a Detecção

A maioria das ferramentas de antivírus e proteção de endpoints depende fortemente da detecção baseada em hash: elas comparam um arquivo com assinaturas conhecidas de malware já identificado e catalogado. Isso funciona bem quando todas as vítimas recebem exatamente o mesmo arquivo, pois um único hash pode sinalizar todas as suas cópias.

A SourTrade parece ter sido projetada especificamente para quebrar esse modelo. Ao dividir a carga maliciosa em pedaços e usar workers do navegador — threads em segundo plano que executam scripts sem bloquear a página principal — para reconstruir o executável dentro da sessão de cada vítima, a campanha gera um arquivo único para cada infecção. Como nenhum dos executáveis montados compartilha o mesmo hash, a varredura tradicional baseada em assinaturas tem muito menos material para trabalhar. O uso do Bun, um runtime JavaScript rápido, ajuda o processo a executar essa construção no navegador com eficiência suficiente para não gerar sinais evidentes de desempenho que pudessem alertar o usuário ou uma ferramenta de segurança.

Uma vez montado, o arquivo resultante é um executável padrão do Windows, o que significa que ele pode executar qualquer função maliciosa que seus operadores tenham incorporado, desde roubo de credenciais até o estabelecimento de acesso remoto persistente na máquina infectada.

Por Que Compilações por Sessão Importam para a Detecção em Larga Escala

O alcance relatado da SourTrade em 12 países sugere que não se trata de um teste pequeno e isolado, mas de uma campanha ativa com infraestrutura real por trás. A geração de um executável por sessão é uma mudança tática significativa porque atinge diretamente o elo mais fraco da defesa antivírus tradicional: a suposição de que as amostras de malware são estáticas e reutilizáveis entre as vítimas.

Os pesquisadores de segurança geralmente combatem esse tipo de evasão com detecção comportamental, observando o que um arquivo faz em vez de sua aparência, mas essa abordagem exige ferramentas mais sofisticadas do que a simples correspondência de hashes. Para usuários comuns e até mesmo muitas pequenas organizações, o software de segurança em execução em suas máquinas ainda pode depender fortemente de bancos de dados de assinaturas, criando uma lacuna que campanhas como a SourTrade foram projetadas para explorar. Uma vez que uma máquina é comprometida dessa forma, ela também pode se tornar parte de uma botnet maior, uma rede de dispositivos infectados controlados remotamente sem o conhecimento de seus proprietários, o que amplia o alcance do invasor muito além de uma única vítima.

O Que Isso Significa Para Você

Você não precisa ser um pesquisador de segurança para reduzir o risco de campanhas como a SourTrade. O malvertising geralmente depende de anúncios ou scripts incorporados carregados nas páginas que você visita, muitas vezes por meio de redes de anúncios legítimas que foram comprometidas ou abusadas, em vez de sites obviamente duvidosos. Isso significa que o conselho habitual de "simplesmente evitar sites obscuros" não é proteção suficiente por si só.

Extensões de navegador que bloqueiam scripts de anúncios e rastreadores de terceiros reduzem a superfície disponível para esse tipo de ataque, já que grande parte da lógica maliciosa nunca tem a chance de ser executada se o conteúdo do anúncio for bloqueado antes do carregamento. Manter o navegador e o sistema operacional atualizados também é importante, pois as atualizações frequentemente fecham os mecanismos específicos dos quais os invasores dependem para executar scripts silenciosamente em segundo plano. E, como o malware construído de forma única por sessão é mais difícil de ser detectado por ferramentas baseadas em hash, contar com software de segurança que inclua análise comportamental ou heurística, não apenas correspondência de assinaturas, oferece uma chance significativamente maior de capturar algo incomum antes que cause danos.

Pontos Principais

  • O malvertising SourTrade monta um executável Windows único por sessão da vítima, tornando a detecção tradicional por antivírus baseada em hash muito menos eficaz.
  • A campanha utiliza o runtime JavaScript Bun e processos de worker do navegador para realizar essa construção no navegador.
  • Foi observada em 12 países, sugerindo uma infraestrutura ativa e contínua, em vez de um teste limitado.
  • Extensões de bloqueio de anúncios, atualizações de software imediatas e ferramentas de segurança com capacidade de detecção comportamental oferecem proteção mais forte do que a varredura baseada apenas em assinaturas.
  • Máquinas infectadas podem ser integradas a botnets maiores, de modo que infecções individuais geram riscos que vão além da vítima original.