La campagna malvertising SourTrade assembla il payload malevolo direttamente nella memoria del browser della vittima, anziché trasmettere un eseguibile completo sulla rete. Secondo l'analisi pubblicata il 25 luglio 2026 da Confiant e ripresa da BleepingComputer e CyberWire, la tecnica — attiva con questa architettura da aprile 2026 — sfrutta API web legittime come Service Worker, SharedWorker e Fetch per trasformare il browser in una pipeline di compilazione locale. Il risultato è un download same-origin con Mark-of-the-Web, apparentemente legittimo, che sfugge ai controlli network-based tradizionali e all'analisi forense basata su hash di file trasferiti.
- SourTrade opera dal tardo 2024 in 12 paesi, principalmente Asia-Pacific e America Latina, con siti falsi che impersonano Solana, Luno e TradingView e filtri anti-ricercatori in 25 lingue.
- Il malware non viene scaricato come file completo: il browser riceve template e parametri randomizzati, assembla il payload in memoria combinandolo con il runtime Bun scaricato da dominio secondario.
- Service Worker gestisce il download mascherato come same-origin dal dominio della landing page; SharedWorker funge da motore di assemblaggio con seed e size randomizzati per sessione.
- Nessuna patch software è disponibile per questa tecnica, che non sfrutta vulnerabilità del browser ma abusa di capacità legittime delle API web moderne.
Come il browser diventa una fabbrica di malware
La catena d'attacco inizia con landing page che replicano piattaforme finanziarie autentiche. Gli operatori di SourTrade hanno implementato un sistema di filtri in 25 lingue che reindirizza scanner, bot e ricercatori a pagine vuote, mostrando il contenuto malevolo solo ai target ritenuti validi. La campagna è attiva dal tardo 2024, con una transizione significativa nell'architettura avvenuta ad aprile 2026.
La novità tecnica risiede nel meccanismo di consegna. Invece di servire un eseguibile precompilato, l'infrastruttura dell'attaccante restituisce al browser istruzioni di assemblaggio. Come documentano i ricercatori di Confiant, l'endpoint /config non è una risposta di download convenzionale: è una risposta di assemblaggio che fornisce template e input necessari alla costruzione locale del file. Il browser — per citare direttamente Confiant via BleepingComputer — funziona come "a local assembly pipeline for the malware".
Il processo si articola in due componenti principali. Il Service Worker opera come download manager, gestendo il flusso di dati e presentando all'utente un download apparentemente proveniente dal dominio della landing page, con Mark-of-the-Web applicato. Il SharedWorker funge invece da motore di assemblaggio, combinando il template ricevuto con parametri randomizzati — seed e size variabili per ogni sessione — per generare un file con hash unico ogni volta. Questa casualità rende inefficaci le firme statiche basate su hash.
Un terzo elemento completato l'assemblaggio: il runtime Bun, componente legittimo scaricato da un dominio secondario separato dall'infrastruttura di comando. Il browser combina questo runtime pulito con le parti controllate dall'attaccante, producendo il payload finale interamente in memoria. Come osserva Confiant via CyberWire: "[SourTrade] does not distribute finished malware. Instead, it delivers assembly instructions to the victim's browser, retrieves a clean legitimate file from separate infrastructure, and directs the browser to build the final malware in memory on the victim's machine. No finished malware ever exists on the network."
"From the browser's point of view, the user is downloading an executable from the landing page domain"
— Confiant researchers, via BleepingComputer
Perché la rilevazione tradizionale fallisce
La tecnica SourTrade sfida su più fronti il paradigma della sicurezza perimetrale. I controlli network-based che analizzano il traffico in transito non rilevano file eseguibili sospetti perché nessun file finito attraversa la rete. I sistemi di analisi forense post-compromissione che cercano artefatti su disco trovano un download legittimo con Mark-of-the-Web, apparentemente originato dal dominio della landing page. Anche le sandbox che analizzano hash di file si trovano di fronte a un'enigma: ogni sessione genera un file con firma diversa, pur essendo funzionalmente identico.
La stessa origine apparente del download — same-origin dal dominio della landing page — rappresenta un'ulteriore barriera cognitiva per l'analisi. Come specificano i ricercatori di Confiant via BleepingComputer: dal punto di vista del browser, l'utente sta scaricando un eseguibile dal dominio della pagina di atterraggio. La provenienza multi-sorgente reale — template da un server, runtime da un altro, assemblaggio locale — è completamente mascherata alla vista dell'utente e degli strumenti di monitoraggio convenzionali.
Va precisato che la tecnica non sfrutta vulnerabilità del browser né bypassa il meccanismo Mark-of-the-Web. Le fonti esplicite negano che SourTrade utilizzi zero-day o flaw di sicurezza: si tratta di abuso puro di API web progettate per scopi legittimi. Questa distinzione è tecnologicamente rilevante perché elimina la possibilità di una correzione vendor tradizionale: non esiste una patch software che possa disabilitare le capacità di Service Worker e SharedWorker senza compromettere funzionalità web legittime.
Il contesto con CVE-2026-3910 e i limiti del dossier
Il brief redazionale include CVE-2026-3910, una vulnerabilità nella implementazione V8 di Chrome con punteggio CVSS 8.8 HIGH secondo il National Vulnerability Database, che interessa versioni precedenti alla 146.0.7680.75. Il dossier non stabilisce tuttavia alcun collegamento diretto tra questa CVE e la tecnica SourTrade: le fonti primarie della campagna non la citano, e l'analisi di Confiant descrive esplicitamente l'approccio come non basato su vulnerabilità browser. CVE-2026-3910 rimane un elemento di contesto tecnico separato, utile a comprendere il più ampio scenario di rischio per il motore JavaScript di Chrome ma non integrabile nella catena d'attacco documentata.
Sul versante delle limitazioni, il dossier non specifica la natura esatta del payload finale generato dalla variante ServiceWorker — Confiant non ha reso pubblici questi dettagli. Non emergono cifre sul numero di vittime confermate né attribuzioni sull'identità degli operatori. Le varianti precedenti della campagna, documentate da Bitdefender nel 2025, includevano capacità di proxy di traffico, keylogging e screenshot: queste funzionalità sono riportate per le versioni storiche, non è documentato se la variante ServiceWorker le repliche o le evolva.
Cosa fare adesso
- Monitorare l'attività di Service Worker e SharedWorker nei browser gestiti aziendalmente, con particolare attenzione a registrazioni provenienti da domini non whitelistati che combinano richieste fetch a infrastrutture multiple.
- Analizzare il comportamento delle sessioni di download oltre che gli hash dei file trasferiti: la rilevazione deve spostarsi dal livello network/endpoint al comportamento del browser durante la fase di assemblaggio.
- Verificare che gli strumenti di sicurezza in uso valutino la provenienza effettiva dei componenti di un download, non solo il dominio apparente presentato nel gestore del download.
- Rivedere le policy di accesso ai siti finanziari e di trading: i filtri anti-ricercatori di SourTrade rendono particolarmente difficile la verifica preventiva da parte di team di threat intelligence.
La lezione per il settore security
SourTrade segnala uno spostamento tattico che potrebbe influenzare il design di controlli di sicurezza futuri. Quando il browser smette di essere un mero visualizzatore per diventare un ambiente di esecuzione con capacità di compilazione e assemblaggio, il perimetro di difesa si sposta inevitabilmente. I confini tra codice legittimo e malevolo non sono più nei file che attraversano la rete ma nei processi che avvengono in memoria, invisibili ai tradizionali punti di ispezione.
La sfida per chi progetta difese non è tecnica soltanto: è epistemologica. Se ogni componente del malware appare legittimo quando isolato — un runtime Bun, una risposta API, un Service Worker — la rilevazione deve operare sulla sequenza e sul contesto, non più sulla sostanza singola. SourTrade dimostra che questo salto è già operativo sul campo, non teorico.
Fonti
- https://www.cysecurity.news/2026/07/browser-memory-becomes-new-target-in.html
- https://www.bleepingcomputer.com/news/security/malicious-sites-use-javascript-to-build-malware-in-browser-memory/
- https://nvd.nist.gov/vuln/detail/CVE-2026-3910
- https://www.microsoft.com/en-us/security/blog/2026/07/31/captivecrunch-midnight-blizzard-targets-travelers-worldwide-for-malware-delivery-and-credential-theft/
- https://thecyberwire.com/newsletters/daily-briefing/15/141
- https://nvd.nist.gov/vuln
- https://nvd.nist.gov/vuln/search
- https://nvd.nist.gov/vuln/categories
- https://nvd.nist.gov/vuln/data-feeds
- https://nvd.nist.gov/vuln/vendor-comments
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.