Kampagne mit browserbasierter Schadsoftware zielt auf Krypto-Trader ab

Eine groß angelegte Malvertising-Kampagne nutzt gefälschte Krypto- und Handelswebsites, um browserbasierte Schadsoftware zu verbreiten. Statt eine fertige schädliche Datei an Opfer zu senden, verwendet die Kampagne JavaScript, um die Nutzlast direkt im Browser zusammenzusetzen.

Die Operation ist seit Ende 2024 aktiv. Sie richtet sich über überzeugende Kopien beliebter Finanzplattformen, darunter Solana, Luno und TradingView, an Privatanleger und Krypto-Investoren.

Forscher haben die Kampagne in 25 Sprachen und 12 Ländern beobachtet. Der Schwerpunkt der Aktivität liegt im asiatisch-pazifischen Raum und in Lateinamerika.

Gefälschte Handelsseiten filtern Forscher heraus

Die schädlichen Websites zeigen den Angriff nicht jedem Besucher. Ein Filtersystem prüft zunächst, ob eine Person wie ein echtes Ziel wirkt, bevor die gefälschte Download-Seite angezeigt wird.

Sicherheitsforscher, automatisierte Scanner und Sicherheits-Bots werden stattdessen auf leere Seiten umgeleitet. Dadurch lässt sich die Kampagne schwerer erkennen und analysieren.

Besucher, die die Prüfung passieren, sehen eine Seite, die wie eine legitime Handels- oder Kryptowährungsplattform aussieht. Sie enthält einen Download-Button, der eine App oder ein Installationsprogramm anzubieten scheint.

JavaScript erstellt Schadsoftware im Browser

Die Kampagne mit browserbasierter Schadsoftware nutzt JavaScript-Komponenten, die einen gesteuerten Download-Prozess vorbereiten. Die Seite registriert zunächst einen Service Worker, der als lokaler Download-Manager fungiert.

Anschließend erstellt die Website einen Shared Worker, der die Schadsoftware aus einzelnen Komponenten zusammensetzt. Die Landingpage fordert dann eine spezielle Konfigurationsantwort mit eindeutigen Seed- und Größenwerten für jede Sitzung an.

Diese Werte ändern sich für jeden Besucher. Dadurch erhält die fertige Schadsoftware-Datei jedes Mal, wenn sie erstellt wird, einen anderen Hash. Das kann die statische Erkennung erschweren, weil Sicherheitstools nicht einfach eine bekannte schädliche Datei identifizieren können.

Die Antwort enthält kein gewöhnliches Installationsprogramm zum Herunterladen. Stattdessen liefert sie eine Vorlage und die Daten, die der Browser benötigt, um die ausführbare Datei lokal zu erstellen.

Downloads von derselben Domain helfen, den Angriff zu verbergen

Die remote abgerufenen Komponenten und lokal generierten Daten werden mit einer sauberen Version der Bun-Ausführungsdatei kombiniert. Sobald der Browser die fertige Datei erstellt hat, löst der Service Worker einen Download von derselben Domain wie die gefälschte Website aus.

Aus Sicht des Opfers scheint die ausführbare Datei direkt von der besuchten Handels- oder Krypto-Website zu stammen. Die heruntergeladene Datei kann außerdem die übliche Mark-of-the-Web-Kennzeichnung erhalten, obwohl Teile davon aus einer anderen Quelle abgerufen wurden.

Keine fertige Schadsoftware-Datei wird über das Netzwerk übertragen. Dieses Vorgehen verschafft den Angreifern einen wichtigen Vorteil, da es offensichtliche Anzeichen eines schädlichen Downloads reduziert und die Sicherheitsanalyse erschwert.

Kampagne hat ihre Bereitstellungsmethode geändert

Frühere Varianten der Operation nutzten StreamSaver, ein Tool, das Websites bei der Verwaltung von Dateidownloads unterstützen kann. Seit April verwendet die Kampagne jedoch eine Bereitstellungsmethode über Service Worker derselben Domain.

Die Forscher haben die genaue aktuelle Nutzlast nicht identifiziert. Frühere Berichte brachten ähnliche Aktivitäten jedoch mit Schadsoftware in Verbindung, die Netzwerkverkehr abfangen, Cookies und Passwörter stehlen, Tastatureingaben aufzeichnen, Screenshots erstellen und Kryptowährungs-Wallets ins Visier nehmen kann.

Die Schadsoftware kann außerdem Persistenz herstellen, sodass Angreifer den Zugriff auf kompromittierte Geräte langfristig behalten.

So können Trader browserbasierte Schadsoftware vermeiden

Krypto-Investoren und Privatanleger sollten keine Apps über Werbung in sozialen Medien, gesponserte Suchergebnisse oder unbekannte Links herunterladen. Angreifer nutzen häufig bezahlte Anzeigen, um potenziellen Opfern gefälschte Finanzwebsites zu zeigen.

Laden Sie Handels- und Kryptowährungssoftware immer von der offiziellen Website des Unternehmens herunter. Prüfen Sie vor dem Start eines Installationsprogramms dessen digitale Signatur und vergewissern Sie sich, dass der angegebene Herausgeber legitim ist.

Die Kampagne mit browserbasierter Schadsoftware zeigt, wie Angreifer Webtechnologien anpassen, um einer Erkennung zu entgehen. Eine vertraut wirkende Website und eine gewöhnliche Download-Aufforderung reichen nicht mehr aus, um zu belegen, dass eine Datei sicher ist.