En omfattende malvertising-kampagne bruger falske kryptovaluta- og handelssider til at levere browserbaseret malware. I stedet for at sende en færdig skadelig fil til offeret bruger kampagnen JavaScript til at opbygge nyttelasten direkte i browseren.
Operationen har været aktiv siden slutningen af 2024. Den retter sig mod private tradere og kryptovalutainvestorer gennem overbevisende kopier af populære finansielle platforme, herunder Solana, Luno og TradingView.
Forskere har fundet kampagnen aktiv på 25 sprog i 12 lande, med størstedelen af aktiviteten i Asien-Stillehavsregionen og Latinamerika.
Falske handelssider filtrerer forskere fra
De skadelige websites viser ikke angrebet til alle besøgende. Et filtreringssystem kontrollerer først, om en person ser ud til at være et reelt mål, før den falske downloadside vises.
Sikkerhedsforskere, automatiserede scannere og sikkerhedsrobotter bliver i stedet omdirigeret til tomme sider. Det gør kampagnen sværere at opdage og analysere.
Besøgende, der passerer kontrollen, ser en side, som ligner en legitim handels- eller kryptovalutaplatform. Den indeholder en downloadknap, der ser ud til at tilbyde en app eller et installationsprogram.
JavaScript opbygger malware i browseren
Kampagnen med browserbaseret malware er afhængig af JavaScript-komponenter, der forbereder en styret downloadproces. Siden registrerer først en service worker, som fungerer som en lokal downloadhåndtering.
Derefter opretter websitet en shared worker, der samler malwaren fra separate komponenter. Landingssiden anmoder derefter om et særligt konfigurationssvar med unikke seed- og størrelsesværdier for hver session.
Værdierne ændres for hver besøgende. Derfor får den færdige malwarefil en unik hash, hver gang den opbygges. Det kan gøre statisk detektion sværere, fordi sikkerhedsværktøjer ikke blot kan identificere én kendt skadelig fil.
Svaret indeholder ikke et normalt installationsprogram, der kan downloades. I stedet leverer det en skabelon og de data, som browseren skal bruge for at opbygge den eksekverbare fil lokalt.
Downloads fra samme domæne hjælper med at skjule angrebet
De eksternt hentede komponenter og lokalt genererede data kombineres med en ren version af Bun-programmet. Når browseren har opbygget den færdige fil, udløser service workeren en download fra det samme domæne som det falske website.
Fra offerets perspektiv ser den eksekverbare fil ud til at komme direkte fra den handels- eller kryptoside, de besøgte. Den downloadede fil kan også få den normale mark-of-the-web-mærkning, selv om dele af den blev hentet fra en anden kilde.
Ingen færdig malwarefil sendes over netværket. Det giver angriberne en vigtig fordel, fordi det reducerer tydelige tegn på en skadelig download og gør sikkerhedsanalysen mere vanskelig.
Kampagnen har ændret leveringsmetode
Tidligere versioner af operationen brugte StreamSaver, et værktøj, der kan hjælpe websites med at håndtere fil-downloads. Siden april har kampagnen dog skiftet til en leveringsmetode med service workers fra samme domæne.
Forskerne har ikke identificeret den præcise nuværende nyttelast. Tidligere rapportering har dog knyttet lignende aktivitet til malware, der kan opsnappe netværkstrafik, stjæle cookies og adgangskoder, registrere tastetryk, tage skærmbilleder og målrette kryptovaluta-wallets.
Malwaren kan også etablere vedvarende adgang, så angriberne kan bevare adgangen til kompromitterede enheder.
Sådan kan tradere undgå browserbaseret malware
Kryptovalutainvestorer og private tradere bør undgå at downloade apps fra annoncer på sociale medier, sponsorerede søgeresultater eller ukendte links. Angribere bruger ofte betalte annoncer til at vise falske finansielle websites til potentielle ofre.
Download altid handels- og kryptovalutasoftware fra virksomhedens officielle website. Før du kører et installationsprogram, bør du kontrollere den digitale signatur og bekræfte, at den angivne udgiver er legitim.
Kampagnen med browserbaseret malware viser, hvordan angribere tilpasser webteknologi for at undgå at blive opdaget. Et velkendt website og en almindelig downloadopfordring er ikke længere nok til at bevise, at en fil er sikker.
0 svar til “Kampagne med browserbaseret malware retter sig mod kryptohandlere”