Uma operação de malvertising batizada de SourTrade está levando os navegadores das vítimas a montar o executável final para Windows com base em um runtime legítimo do Bun, em vez de entregar um único arquivo malicioso completo a partir de um URL fixo.
Segundo a Confiant, que detalhou a campanha em 23/07/2026, a operação está ativa desde o fim de 2024 e se passou por TradingView, Solana e Luno para atingir traders de varejo e investidores em criptomoedas em 12 países e 25 idiomas.
As páginas de entrada fazem a identificação dos visitantes. Pesquisadores, suspeitos e bots veem uma página vazia, enquanto alvos selecionados recebem uma cópia convincente do serviço impersonado.
A defesa mais eficaz contra isso continua sendo a mais simples: instalar softwares de negociação e carteiras apenas no site oficial do fornecedor, nunca a partir de um anúncio.
A cadeia documentada não depende de uma falha no navegador nem remove o Mark of the Web (MotW). A análise da Confiant descreve a entrega do arquivo, não sua execução dentro do navegador, e não confirma se o download final começa automaticamente ou exige clique.
A página de entrada começa a preparar o caminho da entrega antes mesmo de haver um clique para download. Ela registra um ServiceWorker com escopo na página em /sw.js e, em seguida, cria um SharedWorker a partir de JavaScript já incorporado na própria página, de modo que a origem do worker nunca aparece como uma busca separada.
O SharedWorker solicita /config, que retorna um modelo, um URL secundário de runtime e valores aleatórios específicos da sessão. O navegador então baixa e descompacta um runtime legítimo do Bun a partir desse segundo domínio, purelogicbox[.]org no exemplo publicado.
Blocos em Base64 na configuração fornecem o cabeçalho de Portable Executable (PE), a tabela de seções e uma seção .bun que contém bytecode malicioso de JavaScriptCore para o arquivo app.js. O Bun roda sobre o mecanismo JavaScriptCore da Apple e oferece suporte legítimo à compilação de aplicativos e bytecode em executáveis autônomos para Windows.
Em seguida, o worker gera uma grande sequência pseudorrandômica de bytes usando AES em modo contador (AES-CTR). Depois, segue o modelo fornecido como uma receita de cópia de bytes, combinando intervalos selecionados do runtime do Bun, da sequência gerada e do material do executável controlado pelo atacante.
Cada vítima pode receber um arquivo montado de forma diferente. A troca da semente e do tamanho em cada resposta de /config altera o hash, mas preserva o código do payload executável.
“Nenhum malware finalizado existe na rede”, escreveu Michael Steele, da equipe de inteligência de ameaças da Confiant. De fato, nenhum binário completo existe, embora as estruturas PE e o bytecode cheguem em Base64 por meio de /config.
Depois de montado, a página entrega o executável ao ServiceWorker como um fluxo legível. Um iframe oculto navega para um URL da mesma origem, e o worker devolve os bytes gerados com um cabeçalho Content-Disposition de anexo.
O registro de MotW resultante identifica a página de entrada como origem do download, e não o domínio separado que forneceu o runtime do Bun. O MotW continua presente, e a cadeia documentada não faz uso de uma técnica para removê-lo.
O método evoluiu a partir de uma atividade que a Confiant vinha monitorando até 30/04/2026, quando as páginas carregavam o StreamSaver.js, uma biblioteca open source de download em fluxo, a partir do endereço GitHub Pages do próprio autor. Isso fazia o caminho do download registrado apontar para a URL do GitHub da biblioteca.
As páginas atuais mantêm a mesma arquitetura de streaming, incluindo os nomes de mensagens streamSaver:, mas não fazem mais o carregamento a partir do GitHub. A Confiant afirma que o desenho da campanha chama atenção pelo uso do navegador como “uma linha de montagem local” para o malware.
Embora os pesquisadores da Confiant não revelem a natureza do payload, eles encontraram evidências que reforçam um relatório da Bitdefender, de 2025, sobre uma campanha resiliente de malvertising que usava o StreamSaver para distribuir malware.
A Bitdefender constatou que o payload tinha as seguintes capacidades:
interceptar todo o tráfego de rede do usuário, atuando como um proxy
coletar dados de cookie e senha
registrar toques de teclado e capturar telas
roubar dados de carteiras de criptomoedas
estabelecer persistência de longo prazo
A Bitdefender documentou, em setembro de 2025, o cluster relacionado de malvertising em torno da TradingView, identificando o payload final como o stealer que a Check Point acompanha como JSCEAL e a WithSecure como WeevilProxy. A Confiant aponta características compartilhadas da campanha e do executável, mas não demonstra que as três amostras publicadas carreguem esse payload.
O relatório também afirma que a Bitdefender encontrou um executável do Bun modificado nesse cluster. Segundo a Confiant, não encontrou-se menção ao Bun no post de setembro de 2025 ao qual a empresa faz referência, que nomeia sua detecção de loader como Variant.DenoSnoop.Marte.1.
Assim, o roubo de credenciais, o keylogging, a interceptação de tráfego, o roubo de carteiras e as capacidades de acesso remoto documentadas na campanha anterior ainda não podem ser atribuídos aos arquivos atuais.
Não há um patch de software a aplicar. A evasão é mais limitada do que parece à primeira vista. Na própria seção de implicações práticas, a Confiant avalia de forma mais contida que builds únicos por sessão reduzem o valor de detecções simples baseadas em hash.
Ainda assim, o material PE controlado pelo atacante e o bytecode continuam cruzando a rede. As equipes de defesa devem examinar a cadeia inteira, desde o redirecionamento do anúncio e a página disfarçada até a solicitação de /config, a busca do runtime no domínio secundário e o download via ServiceWorker, em vez de tratar qualquer artefato isolado de rede ou de arquivo como decisivo.
A Confiant publicou três hashes SHA-256 e uma lista de domínios maliciosos, 96. A empresa não atribuiu a operação a nenhum grupo e encerrou a análise no momento em que o arquivo chega ao disco.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...