悪意あるサイトがJavaScriptを使い、ブラウザメモリ内でマルウェアを構築

大規模なマルバタイジングキャンペーンにおいて、Solana、Luno、TradingViewを装った偽ウェブページが使われており、悪意あるJavaScriptによってブラウザにマルウェアをメモリ上で直接組み立てさせる手口が確認されました。

この攻撃は2024年後半から活動しており、アジア太平洋地域とラテンアメリカを中心に12カ国、25言語に対応してローカライズされています。

フィルタリングシステムが機能しており、実在する標的(個人トレーダーや暗号資産投資家)のみが悪意あるページに誘導される一方、研究者やスキャナー、セキュリティボットは空白ページにリダイレクトされる仕組みになっています。

広告セキュリティプラットフォームのConfiantによると、このキャンペーンはウェブブラウザを「ローカルの組み立てパイプライン」としてマルウェア構築に利用する点で際立っているといいます。

偽のポータルサイトにはダウンロードボタンが設置されていますが、ランディングページ上のReactJSライブラリが、本来は各種ファイル転送の処理に使われる「マネージドダウンロードフロー」向けにブラウザを準備する仕組みになっています。

Confiantの分析によると、このページはまずサービスワーカーを登録します。このサービスワーカーはダウンロードマネージャーとして機能し、マルウェアファイルを段階的に構築する役割を担います。

第1段階では、ページがシェアードワーカーを設定します。これはエンジンとして機能し、攻撃の次の段階で受け取るコンポーネントからマルウェアを組み立てます。

研究者らによると、第2段階では「ランディングページが自身のSharedWorkerを使い、シード値とサイズのパラメータを付けて自分自身に『/config』レスポンスを要求します」。これらのパラメータはセッションごとにランダム化され、固有の値となります。

脅威アクターはこれらのパラメータをローテーションさせることで、生成されるマルウェアファイルのハッシュ値を毎回一意にし、静的検知を回避しています。