Malvertising basato su JavaScript crea malware silenziosamente nella memoria del browser
Una sofisticata operazione di malvertising inganna i trader di criptovalute con siti falsi che utilizzano JavaScript per costruire interamente il malware nel browser, evitando le difese di rete. La campagna prende di mira utenti in Asia-Pacifico e America Latina, rubando credenziali e portafogli di criptovalute.
Una campagna di malvertising attiva sta sfruttando JavaScript malevolo per assemblare malware direttamente nella memoria del browser della vittima, aggirando le misure di sicurezza tradizionali. Identificata per la prima volta alla fine del 2024, l'operazione utilizza siti web falsi che imitano popolari piattaforme di criptovalute e trading come Solana, Luno e TradingView. La campagna, localizzata in 25 lingue e che prende di mira 12 paesi in Asia-Pacifico e America Latina, impiega un meccanismo di filtraggio per reindirizzare scanner di sicurezza e bot a pagine vuote, assicurando che solo veri trader al dettaglio e investitori di criptovalute siano esposti.
L'innovazione centrale dell'attacco consiste nel trasformare il browser in una linea di assemblaggio locale di malware. Quando un utente atterra su un portale falso, una libreria ReactJS registra un service worker che funge da download manager. Contemporaneamente, viene impostato un shared worker come motore che costruisce incrementalmente il malware da componenti recuperati tramite un endpoint speciale '/config'. Questo endpoint restituisce un template di assemblaggio—non un file finito—insieme a parametri di seed e dimensione randomizzati che generano un hash unico per ogni sessione, frustrando il rilevamento basato su firme statiche. Il payload finale viene creato combinando parti remote con byte prodotti localmente, utilizzando una versione pulita dell'eseguibile Bun come base.
Dopo che il payload è stato costruito in memoria, il service worker attiva un download same-origin, quindi il browser lo tratta come un file legittimo proveniente dal dominio visualizzato. Questa tecnica significa che nessun binario di malware completo attraversa mai la rete, riducendo notevolmente le possibilità di intercettazione da parte degli strumenti di sicurezza di rete. Varianti precedenti di questa campagna, soprannominata SourTrade dalla società di sicurezza pubblicitaria Confiant, si affidavano al progetto StreamSaver per gestire i download, ma dall'aprile 2025 sono passate al metodo del service worker per un maggiore occultamento.
Secondo un rapporto del 2025 di Bitdefender, il malware distribuito possiede ampie capacità di spionaggio e furto: può agire come proxy per intercettare tutto il traffico utente, raccogliere cookie e password, registrare le battiture, catturare screenshot, rubare dati di portafogli di criptovalute e stabilire un accesso persistente. Gli utenti nei gruppi demografici presi di mira sono invitati a scaricare applicazioni finanziarie o di criptovalute solo dai siti web ufficiali delle aziende e a verificare le firme digitali prima di eseguire qualsiasi installer.
Per i proprietari di siti web e le aziende, l'impiego di un servizio DNS sicuro come AEU DNS può aggiungere un importante livello di difesa bloccando l'accesso a domini malevoli noti associati a tali campagne di malvertising, aiutando a prevenire che gli utenti finali raggiungano mai le pagine di destinazione pericolose.