Обычно разбор доставки вредоноса читается по знакомой партитуре: как получили первичный доступ, чем закрепились, как прошли по горизонтали, какие туннели прокинули, что унесли. SourTrade ломает саму партитуру на первом такте. Здесь нет момента, когда с сервера прилетает готовый вредоносный файл – потому что готового файла не существует нигде в сети. Оператор шлёт в браузер жертвы не малварь, а инструкцию по сборке, отдельно подсовывает чистую легальную программу и заставляет браузер собрать боевой исполняемый файл прямо на машине жертвы, в памяти.
Это не обфускация и не хитрый упаковщик. Это перенос самой сборки на сторону жертвы, и бьёт он в фундамент защиты: детект по хешу файла, самый массовый способ ловли, здесь мёртв by design. В сетевом логе – чистая программа. На диске у каждой жертвы – свой уникальный бинарь. Антивирусу нечего сверять с базой, потому что того, что стоило бы сверять, никто по проводам не передавал. Операцию размотала Confiant. Сама кампания крутит рекламу под брендами TradingView, Solana и Luno с конца 2024 года. А теперь – как браузер превращается в сборочный цех.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Автор: hacker@shifry.local