🔍 Contexte

Publié le 23 juillet 2026 par Confiant (Michael Steele), cet article présente une analyse technique approfondie de SourTrade, une opération de malvertising persistante active depuis fin 2024, ciblant des investisseurs en cryptomonnaies et des traders particuliers dans 12 pays et 25 langues.

🎯 Ciblage et usurpation de marques

SourTrade diffuse des publicités programmatiques en usurpant trois marques légitimes :

  • TradingView (outil de charting)
  • Solana (réseau blockchain layer-1)
  • Luno (plateforme fiat-to-crypto)

Les pays ciblés incluent le Japon, la Thaïlande, la Corée du Sud, Taïwan, Hong Kong, la Bolivie, le Brésil, le Nigeria, la Turquie, l’Afrique du Sud, l’Australie et le Royaume-Uni. Les publicités sont diffusées via Google Ads, Meta/Facebook et Twitter/X.

🛡️ Mécanisme de cloaking

Les landing pages utilisent un kit de cloaking qui distingue les bots/analystes des victimes réelles. Les analystes voient une page blanche vide ; les victimes légitimes voient une réplique convaincante de la plateforme usurpée.

⚙️ Technique d’assemblage en mémoire (Browser-Assembled Malware)

La caractéristique technique centrale est l’assemblage du malware directement dans le navigateur de la victime, en quatre étapes :

  1. Stage 1 : La landing page enregistre un ServiceWorker (sw.js) et instancie un SharedWorker depuis un blob JavaScript embarqué dans le code React de la page.
  2. Stage 2 : Le SharedWorker interroge /config et reçoit des instructions d’assemblage (non un exécutable fini) : un tableau template, une graine AES-CTR aléatoire par session, et une standaloneUrl pointant vers un runtime Bun légitime.
  3. Stage 3 : Le navigateur récupère le runtime Bun propre depuis l’infrastructure secondaire, génère un flux AES-CTR unique par victime, et combine ces éléments avec des blobs base64 livrés par /config (en-tête PE, table de sections, section .bun malveillante contenant du bytecode JavaScriptCore) pour assembler l’exécutable final en mémoire.
  4. Stage 4 : Le fichier assemblé est livré via le ServiceWorker comme un téléchargement same-origin, masquant l’origine réelle des composants dans la signature Mark of the Web (MotW).

🔑 Avantages opérationnels pour l’attaquant

  • Aucun malware fini ne transite sur le réseau → contournement de la détection par hash de fichier
  • Hash unique par victime grâce à la graine AES-CTR rotative
  • Les logs réseau n’enregistrent qu’un téléchargement légitime (runtime Bun)
  • La signature MotW pointe vers le domaine de la landing page, non vers l’infrastructure secondaire

📅 Évolution de la campagne

Avant le 30 avril 2026, SourTrade utilisait StreamSaver.js hébergé sur GitHub pour la livraison, laissant une URL GitHub dans la signature MotW. La version post-avril 2026 abandonne cette dépendance. Bitdefender avait documenté une activité similaire en septembre 2025 sous le nom « The Scam That Won’t Quit ».

📄 Nature de l’article

Il s’agit d’une publication de recherche technique produite par Confiant Threat Intelligence, dont l’objectif est de documenter en détail la chaîne d’exécution de SourTrade et de fournir des IOCs exploitables (hashes SHA256 et domaines).

🧠 TTPs et IOCs détectés

TTP

  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1036 — Masquerading (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
  • T1608.004 — Stage Capabilities: Drive-by Target (Resource Development)
  • T1189 — Drive-by Compromise (Initial Access)
  • T1564.001 — Hide Artifacts: Hidden Files and Directories (Defense Evasion)
  • T1553 — Subvert Trust Controls (Defense Evasion)

IOC

Malware / Outils

  • SourTrade (other)
  • Bun runtime (trojanisé) (loader)

🟢 Indice de vérification factuelle : 67/100 (haute)

  • ⬜ blog.confiant.com — source non référencée (0pts)
  • ✅ 18141 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 103 IOCs dont des hashes (15pts)
  • ✅ 2/7 IOCs confirmés (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 8 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • noxani.info (domain) → VT (5/91 détections)
  • greensite.digital (domain) → VT (5/91 détections)

🔗 Source originale : https://blog.confiant.com/p/sourtrade-browser-assembled-malware