🌟 Atualização imperdível para quem gosta de estar bem informado!
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Uma operação de malvertising chamada SourTrade está fazendo com que os navegadores das vítimas construam eles próprios o executável final do Windows, usando um tempo de execução Bun legítimo como base, em vez de servir um arquivo malicioso completo a partir de uma URL fixa.
A Confiant, que detalhou a campanha em 23 de julho de 2026, disse que opera desde o final de 2024 e se faz passar por TradingView, Solana e Luno para atingir comerciantes de varejo e investidores em criptomoedas em 12 países e em 25 idiomas.
Suas páginas de destino identificam os visitantes, mostrando aos pesquisadores e bots suspeitos uma página vazia, enquanto os alvos selecionados recebem uma cópia convincente do serviço personificado. A defesa contra isso é a comum: instalar software de negociação e carteira a partir do próprio site do fornecedor, não a partir de um anúncio.
A cadeia documentada não depende de uma vulnerabilidade do navegador nem remove o Mark of the Web (MotW). A análise da Confiant documenta a entrega, não a execução do arquivo dentro do navegador, e não estabelece se o download final começa automaticamente ou requer um clique.
A landing page começa a preparar o caminho de entrega sem esperar por um clique de download. Ele registra um ServiceWorker com escopo de página em /sw.js e, em seguida, cria um SharedWorker a partir de JavaScript já incorporado na página, para que a origem do trabalhador nunca apareça como uma busca separada.
O SharedWorker solicita /config, que retorna um modelo, uma URL de tempo de execução secundária e valores aleatórios específicos da sessão. O navegador recupera e descompacta um tempo de execução Bun limpo desse segundo domínio, purelogicbox[.]org na resposta de amostra publicada.
Os blobs Base64 na configuração fornecem o cabeçalho Portable Executable (PE), a tabela de seção e uma seção .bun contendo bytecode JavaScriptCore malicioso para app.js. Bun é executado no mecanismo JavaScriptCore da Apple e suporta legitimamente a compilação de aplicativos e bytecode em executáveis autônomos do Windows.
O trabalhador então gera um grande fluxo de bytes pseudoaleatórios usando AES no modo contador (AES-CTR). Em seguida, ele segue o modelo fornecido como uma receita de cópia de bytes, combinando intervalos selecionados do tempo de execução do Bun, do fluxo gerado e do material executável controlado pelo invasor.
Cada vítima pode receber um arquivo montado diferente: girar a semente e o tamanho em cada resposta /config altera o hash enquanto mantém o código de carga executável. “Nenhum malware final existe na rede”, escreveu Michael Steele, da equipe de inteligência de ameaças da Confiant. Nenhum binário completo o faz, embora as estruturas PE e o bytecode cheguem como Base64 em/config.
Depois de montada, a página passa o executável para o ServiceWorker como um fluxo legível. Um iframe oculto navega para uma URL de mesma origem e o trabalhador retorna os bytes gerados com um cabeçalho de anexo Content-Disposition. O registro MotW resultante identifica a página de destino como a fonte de download, não o domínio separado que forneceu o tempo de execução do Bun. O próprio MotW permanece presente.
O método evoluiu da atividade rastreada pelo Confiant até 30 de abril de 2026, quando as páginas carregaram StreamSaver.js, uma biblioteca de download por streaming de código aberto, do endereço GitHub Pages de seu autor. Isso deixou o caminho de download registrado apontando para o URL do GitHub da biblioteca. As páginas atuais mantêm sua arquitetura de streaming, incluindo o streamsaver: nomes de mensagens, mas não os buscam mais no GitHub.
A Bitdefender documentou o cluster de malvertising TradingView relacionado em setembro de 2025, identificando sua carga final enquanto o ladrão Check Point rastreia como JSCEAL e WithSecure como WeevilProxy.
Confiant identifica campanhas compartilhadas e características executáveis, mas não demonstra que as três amostras publicadas carregam essa carga útil. O relatório também diz que o Bitdefender encontrou um executável Bun modificado neste cluster.
O Hacker News não encontrou nenhuma menção a Bun na postagem de setembro de 2025 com links para Confiant, que nomeia sua detecção de carregador Variant.DenoSnoop.Marte.1. Roubo de credenciais, keylogging, interceptação de tráfego, roubo de carteira e recursos de acesso remoto documentados na campanha anterior, portanto, ainda não podem ser atribuídos aos arquivos atuais.
O Hacker News entrou em contato com a Confiant para esclarecimentos sobre sua referência às descobertas anteriores do Bitdefender e atualizará esta história com qualquer resposta.
Não há patch de software a ser aplicado. A evasão é mais restrita do que parece à primeira vista. A própria seção de implicações práticas do Confiant coloca isso de forma mais modesta: compilações exclusivas por sessão limitam o valor de detecções simples baseadas em hash. O material PE e o bytecode controlados pelo invasor ainda cruzam a rede.
Os defensores devem examinar toda a cadeia, desde a referência do anúncio e a página de destino ocultada até a solicitação /config, a busca do tempo de execução do domínio secundário e o download do ServiceWorker, em vez de tratar qualquer rede ou artefato de arquivo como decisivo.
Confiant publicou três
A Confiant, que detalhou a campanha em 23 de julho de 2026, disse que opera desde o final de 2024 e se faz passar por TradingView, Solana e Luno para atingir comerciantes de varejo e investidores em criptomoedas em 12 países e em 25 idiomas.
Suas páginas de destino identificam os visitantes, mostrando aos pesquisadores e bots suspeitos uma página vazia, enquanto os alvos selecionados recebem uma cópia convincente do serviço personificado. A defesa contra isso é a comum: instalar software de negociação e carteira a partir do próprio site do fornecedor, não a partir de um anúncio.
A cadeia documentada não depende de uma vulnerabilidade do navegador nem remove o Mark of the Web (MotW). A análise da Confiant documenta a entrega, não a execução do arquivo dentro do navegador, e não estabelece se o download final começa automaticamente ou requer um clique.
A landing page começa a preparar o caminho de entrega sem esperar por um clique de download. Ele registra um ServiceWorker com escopo de página em /sw.js e, em seguida, cria um SharedWorker a partir de JavaScript já incorporado na página, para que a origem do trabalhador nunca apareça como uma busca separada.
O SharedWorker solicita /config, que retorna um modelo, uma URL de tempo de execução secundária e valores aleatórios específicos da sessão. O navegador recupera e descompacta um tempo de execução Bun limpo desse segundo domínio, purelogicbox[.]org na resposta de amostra publicada.
Os blobs Base64 na configuração fornecem o cabeçalho Portable Executable (PE), a tabela de seção e uma seção .bun contendo bytecode JavaScriptCore malicioso para app.js. Bun é executado no mecanismo JavaScriptCore da Apple e suporta legitimamente a compilação de aplicativos e bytecode em executáveis autônomos do Windows.
O trabalhador então gera um grande fluxo de bytes pseudoaleatórios usando AES no modo contador (AES-CTR). Em seguida, ele segue o modelo fornecido como uma receita de cópia de bytes, combinando intervalos selecionados do tempo de execução do Bun, do fluxo gerado e do material executável controlado pelo invasor.
Cada vítima pode receber um arquivo montado diferente: girar a semente e o tamanho em cada resposta /config altera o hash enquanto mantém o código de carga executável. “Nenhum malware final existe na rede”, escreveu Michael Steele, da equipe de inteligência de ameaças da Confiant. Nenhum binário completo o faz, embora as estruturas PE e o bytecode cheguem como Base64 em/config.
Depois de montada, a página passa o executável para o ServiceWorker como um fluxo legível. Um iframe oculto navega para uma URL de mesma origem e o trabalhador retorna os bytes gerados com um cabeçalho de anexo Content-Disposition. O registro MotW resultante identifica a página de destino como a fonte de download, não o domínio separado que forneceu o tempo de execução do Bun. O próprio MotW permanece presente.
O método evoluiu da atividade rastreada pelo Confiant até 30 de abril de 2026, quando as páginas carregaram StreamSaver.js, uma biblioteca de download por streaming de código aberto, do endereço GitHub Pages de seu autor. Isso deixou o caminho de download registrado apontando para o URL do GitHub da biblioteca. As páginas atuais mantêm sua arquitetura de streaming, incluindo o streamsaver: nomes de mensagens, mas não os buscam mais no GitHub.
A Bitdefender documentou o cluster de malvertising TradingView relacionado em setembro de 2025, identificando sua carga final enquanto o ladrão Check Point rastreia como JSCEAL e WithSecure como WeevilProxy.
Confiant identifica campanhas compartilhadas e características executáveis, mas não demonstra que as três amostras publicadas carregam essa carga útil. O relatório também diz que o Bitdefender encontrou um executável Bun modificado neste cluster.
O Hacker News não encontrou nenhuma menção a Bun na postagem de setembro de 2025 com links para Confiant, que nomeia sua detecção de carregador Variant.DenoSnoop.Marte.1. Roubo de credenciais, keylogging, interceptação de tráfego, roubo de carteira e recursos de acesso remoto documentados na campanha anterior, portanto, ainda não podem ser atribuídos aos arquivos atuais.
O Hacker News entrou em contato com a Confiant para esclarecimentos sobre sua referência às descobertas anteriores do Bitdefender e atualizará esta história com qualquer resposta.
Não há patch de software a ser aplicado. A evasão é mais restrita do que parece à primeira vista. A própria seção de implicações práticas do Confiant coloca isso de forma mais modesta: compilações exclusivas por sessão limitam o valor de detecções simples baseadas em hash. O material PE e o bytecode controlados pelo invasor ainda cruzam a rede.
Os defensores devem examinar toda a cadeia, desde a referência do anúncio e a página de destino ocultada até a solicitação /config, a busca do tempo de execução do domínio secundário e o download do ServiceWorker, em vez de tratar qualquer rede ou artefato de arquivo como decisivo.
Confiant publicou três
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #malvertising #envia #malware #em #pedaços #e #depois #faz #com #que #o #navegador #crie #o #executável
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário