Malvertising mit JavaScript baut Schadsoftware still im Browser-Speicher auf
Eine ausgeklügelte Malvertising-Kampagne täuscht Krypto-Händler mit gefälschten Websites, die per JavaScript die Malware vollständig im Browser konstruieren und so netzwerkbasierte Abwehrmechanismen umgehen. Die Kampagne zielt auf Nutzer in Asien-Pazifik und Lateinamerika ab und stiehlt Anmeldedaten sowie Krypto-Wallets.
Eine aktive Malvertising-Kampagne nutzt schädliches JavaScript, um Malware direkt im Speicher des Browsers eines Opfers zusammenzubauen und traditionelle Sicherheitsmaßnahmen zu umgehen. Erstmals Ende 2024 identifiziert, verwendet die Operation gefälschte Websites, die populäre Kryptowährungs- und Handelsplattformen wie Solana, Luno und TradingView imitieren. Die Kampagne ist in 25 Sprachen lokalisiert und zielt auf 12 Länder in Asien-Pazifik und Lateinamerika ab. Sie verwendet einen Filtermechanismus, der Sicherheitsscanner und Bots auf leere Seiten umleitet und so sicherstellt, dass nur echte Privathändler und Krypto-Investoren exponiert werden.
Die Kerninnovation des Angriffs liegt darin, den Browser in eine lokale Malware-Montagelinie zu verwandeln. Wenn ein Nutzer auf einem gefälschten Portal landet, registriert eine ReactJS-Bibliothek einen Service Worker, der als Download-Manager fungiert. Gleichzeitig wird ein Shared Worker als Engine eingerichtet, der die Malware schrittweise aus Komponenten aufbaut, die über einen speziellen '/config'-Endpunkt abgerufen werden. Dieser Endpunkt gibt eine Assemblierungsvorlage – keine fertige Datei – zusammen mit zufälligen Seed- und Größenparametern zurück, die für jede Sitzung einen eindeutigen Hash erzeugen, was die Erkennung durch statische Signaturbasierte Verfahren erschwert. Die endgültige Nutzlast wird durch Kombination von entfernten Teilen mit lokal erzeugten Bytes erstellt, wobei eine saubere Version der Bun-Ausführungsdatei als Basis dient.
Nachdem die Nutzlast im Speicher aufgebaut wurde, löst der Service Worker einen Same-Origin-Download aus, sodass der Browser sie als legitime Datei von der angezeigten Domain behandelt. Diese Technik führt dazu, dass niemals eine vollständige Malware-Binärdatei über das Netzwerk übertragen wird, was die Chancen eines Abfangens durch Netzwerksicherheitstools erheblich reduziert. Frühere Varianten dieser Kampagne, die von der Werbesicherheitsfirma Confiant als SourTrade bezeichnet wurde, nutzten das StreamSaver-Projekt für Downloads, aber seit April 2025 sind sie zur Service-Worker-Methode gewechselt, um besser getarnt zu sein.
Laut einem Bitdefender-Bericht von 2025 verfügt die ausgelieferte Malware über umfangreiche Spionage- und Diebstahlfähigkeiten: Sie kann als Proxy agieren, um den gesamten Benutzerverkehr abzufangen, Cookies und Passwörter ernten, Tastatureingaben protokollieren, Screenshots aufnehmen, Daten von Kryptowährungs-Wallets stehlen und persistenten Zugriff einrichten. Nutzer in den Zielgruppen werden dringend aufgefordert, Finanz- oder Krypto-Anwendungen nur von offiziellen Unternehmenswebsites herunterzuladen und vor dem Ausführen eines Installers digitale Signaturen zu überprüfen.
Für Website-Betreiber und Unternehmen kann die Verwendung eines sicheren DNS-Dienstes wie AEU DNS eine wichtige zusätzliche Verteidigungsschicht darstellen, indem der Zugriff auf bekannte bösartige Domains blockiert wird, die mit solchen Malvertising-Kampagnen in Verbindung stehen, und so verhindert wird, dass Endnutzer jemals die gefährlichen Landingpages erreichen.