SourTradeは、ブラウザそのものをマルウェアのビルドシステムに変えてしまう手口です。業界がこれまで頼ってきたハッシュベースのファイル指紋照合や、従来のネットワーク中心の検知手法を意図的にすり抜けます。
SourTradeは2024年後半から活動を続けており、プログラマティック広告を悪用して、APAC・中南米・アフリカ・欧米圏の12地域にわたる個人トレーダーや暗号資産投資家を標的にしています。対象国・地域には日本、タイ、韓国、台湾、香港、ボリビア、ブラジル、ナイジェリア、トルコ、南アフリカ、オーストラリア、英国が含まれます。
ランディングページには訪問者をフィンガープリンティングするクローキングキットが組み込まれており、アナリスト・ボット・自動スキャナーと人間の被害者とを明確に選別します。
研究者や標的外のトラフィックには無害な白紙ページが表示される一方、標的となる被害者には信頼できる取引プラットフォームや暗号資産プラットフォームを精巧に模倣したページが表示されます。
これらのページに埋め込まれたテレメトリからは、Google広告の追跡ロジックやMeta/Facebookピクセル、Twitter/Xビーコンが確認されており、これによりSourTradeは、BitdefenderがTradingView Premiumキャンペーンに関する調査で以前報告した、Meta・Google・YouTubeにまたがる不正広告(マルバタイジング)クラスターと同系統であることがわかります。
技術的に見ると、SourTradeの最大の特徴は、完成したマルウェアバイナリを静的URLから配信することが一切ない点にあります。
代わりに、組み立て指示をブラウザに送り込み、別のインフラからクリーンなBunの「スタンドアロン」ランタイムを取得させ、テンプレートとC2から配信されるブロブ、そしてローカルで生成したAES-CTRバイト列を使って、ブラウザ側でユニークなWindows実行ファイルをメモリ上に組み立てさせます。
ステージ1では、ServiceWorker(/sw.js)と、ページ内のJavaScriptテキストから構築されたSharedWorkerを登録し、ランディングページのオリジンに紐づいたストリーミング配信経路を確立します。
ステージ2では内部の/configリクエストを発行し、JSON形式の組み立てプロファイルを受け取ります。ここにはセッション固有のランダムシードとサイズ、バイトコピー操作を記述するテンプレート配列、そしてpurelogicbox[.]orgのようなセカンダリドメインでホストされたクリーンなBunランタイムを指すstandaloneUrlが含まれています。
ステージ3では、Bunランタイムを取得・展開し、受け取ったシードとサイズから被害者ごとに固有のAES-CTRバイトストリームを生成します。そのバイトストリームと、base64エンコードされたPEヘッダー、セクションテーブル、.bunセクションのブロブを、テンプレート駆動のアセンブラーに渡します。
このテンプレートはバイトコピーのレシピとして機能し、ソース範囲をたどりながら、クリーンなインタプリタ、攻撃者が制御するPE構造、疑似ランダムなパディングを結合して、被害者ごとに一度きりの実行ファイルを生成します。その結果、生成される実行ファイルのハッシュ値は被害者ごとに事実上ユニークになります。
ステージ4では、組み立てられたReadableStreamをServiceWorkerに渡し、同一オリジンのダウンロードURLを生成した上で、隠しiframeによるナビゲーションを発生させます。
これにより、ブラウザはこのペイロードをランディングページのドメインから配信された通常の添付ファイルとして扱います。生成されるMark of the Web(MotW)署名には同一オリジンのパスが記録されるため、主要なコンポーネントが実際には外部インフラ由来であるという事実が隠され、ネットワークログにも直接現れません。
SourTradeは安定した悪性バイナリを通信上に一切露出させないため、従来のフィンガープリンティング手法は構造的にそのペイロードを検知できません。
GBhackersと共有されたレポートの中でConfiantは、SourTradeの運営者がTradingView、Solana、Lunoになりすまし、英語と標的地域の現地語でローカライズされたクリエイティブを提示することで、正規の金融広告エコシステムに紛れ込んでいると述べています。
セキュリティツールやネットワーク検査スタックの目には、クリーンなBunランタイムのダウンロード、一見ランダムなデータに見えるセッション固有のAES-CTR出力、そしてJavaScriptによって制御される組み立てプロセスが映るだけで、単一の既知の悪性ファイルとしては認識されません。
Securityconsulting services
SourTradeのブラウザ組み立て手法
各被害者の実行ファイルは、ローテーションされるAES-CTRシードとサイズ、そして柔軟なテンプレート配列によって多様化されます。これにより、悪性のJavaScriptCoreバイトコードを含む同一の.bunセクションを保持しながらも、ビルドごとに異なるハッシュ値とPEレイアウトが生成される仕組みです。
このブラウザ側組み立てモデルは、BitdefenderによるTradingView Premiumに関する以前のレポートで指摘された回避戦略と共通しています。そのレポートでは、同一のクラスターがGitHubでホストされたStreamSaver.jsを悪用してMotWのパスを操作し、サンドボックス耐性を持つ肥大化したダウンローダーを配信していたことが明らかにされていました。
重要な点として、standaloneUrl経由で取得されたクリーンなBun実行ファイル、無害に見える/configのレスポンス、ログ上の同一オリジンのダウンロード記録といった個々のアーティファクトは、単独で見る限りいずれも無害に見えます。
クローキングされたランディングページとフィンガープリンティングから、/configによる組み立て指示、ServiceWorker経由のストリーム配信とMotWの操作に至るまで、一連の流れをエンドツーエンドで分析して初めて、SourTradeの本当の挙動が明らかになります。
SourTradeに紐づくIOCデータからは、大量の広告運用と柔軟な配信経路を支えるべく設計された、ローテーションするドメインとサブドメインからなる広大なインフラの存在が浮かび上がっています。
ComputerScience
関連するTradingView Premium型の不正広告キャンペーンに関するBitdefenderの調査では、数百に及ぶドメインと、乗っ取られたGoogleおよびMetaビジネスアカウントが特定されています。
この多段構成のローダーチェーンは、最終的にWindows、macOS、Androidの各プラットフォームでJSCEAL/WeevilProxyの情報窃取型ペイロードを配信するに至っており、このエコシステムが少なくとも2025年から活動・拡大を続けてきたことを裏付けています。
最近確認されたランディングページのアーティファクトやBunスタンドアロンの特徴からは、SourTradeが2026年を通じてブラウザ側の組み立て手法を洗練させ続けていることがうかがえます。StreamSaver.jsベースのMotW操作から、完全にオリジンに限定されたServiceWorker配信とメモリ内でのローカル組み立てへと手口を進化させているのです。
総合すると、進化を続ける配信経路、クロスプラットフォームのペイロード、そして執拗に繰り返されるブランドなりすましが相まって、SourTradeはハッシュベースの検知を打ち破り、サンドボックス解析を妨害し、ブラウザをオーダーメイドマルウェアの組み立てラインへと武器化するよう設計された、根強い不正広告脅威クラスターとして位置づけられます。
What Features Should AI SOC Have in 2026? A Complete Checklist : Download the AI SOC Features Checklist
翻訳元: https://gbhackers.com/sourtrade-browser-assembled/
