«Шевелюга обыкновенная»
Вредоносная кампания SourTrade использует браузеры жертв для финальной компиляции вредоносного кода с помощью легитимной среды исполнения Bun. Иными словами, вредоносная программа «самозарождается» на конечной точке, а не скачивается со стороннего ресурса.
По данным исследователей фирмы Confiant, кампания длится с конца 2024 г. Злоумышленники разными способами выдавали себя за сетевые ресурсы криптотрекера TradingView, а также валюты Solana и криптокошелька Luno. Целью атак были преимущественно трейдеры и криптоинвесторы в 12 странах, говорящие на 25 разных языках.
Лендинговые страницы злоумышленников маркировали посетителей, причем если каким-то образом в посетителе подозревались исследователи кибербезопасности или боты, им выводились пустые страницы, в то время как потенциальным жертвам демонстрировались убедительные имитации искомых веб-сайтов.
Описанная Confiant последовательность не подразумевает ни эксплуатации уязвимости браузера, ни удаления «маркировки веб-страницы» (MotW). В публикации компании задокументирована только доставка вредоноса на конечную точку, а не запуск финального результата компиляции внутри браузера. Поэтому до конца не ясно, осуществляется ли загрузка автоматически или требует минимального содействия пользователя.
Лендинговые страницы настроены таким образом, чтобы формировать загрузочный тракт без активации пользователем какого-либо интерактивного элемента. Она регистрирует фоновый скрипт ServiceWorker, привязанный к странице, по адресу /sw.js, а затем создает SharedWorker из JavaScript, уже встроенного в страницу, поэтому источник запуска скрипта не отображается как отдельный запрос.
SharedWorker отправляет на сервер злоумышленника запрос /config, который возвращает шаблон, вторичный URL-адрес среды выполнения и набор случайных величин, уникальных для каждой сессии. Браузер скачивает со вторичного URL и распаковывает чистую копию среды выполнения Bun
В конфигурации используются Base64-блоки, содержащие заголовок исполняемого файла (PE), таблицу разделов и раздел .bun, включающий вредоносный байт-код JavaScriptCore для файла app.js.
JavaScriptCore - это движок, разработанный Apple, который позволяет компилировать приложения и байт-код в отдельные исполняемые файлы, совместимые с Windows.
Затем рабочий процесс генерирует большой псевдослучайный поток байтов, используя AES в режиме счетчика (AES-CTR). После этого он следует предоставленному шаблону в качестве рецепта копирования байтов, комбинируя выбранные диапазоны из среды выполнения Bun, сгенерированный поток и исполняемый файл, контролируемый злоумышленником.
В результате каждая отдельная жертва получает уникальный файл с собственным уникальным хэшем, но с сохраняющимся вредоносным компонентом. Через сеть не передается ничего, что могло бы рассматриваться как готовый к применению вредоносный код.
Идеальная маскировка
После сборки страница передает исполняемый файл в ServiceWorker в виде читаемого потока. Скрытый iframe переходит по URL-адресу того же источника, и ServiceWorker возвращает сгенерированные байты с заголовком Content-Disposition. Полученная запись MotW идентифицирует в качестве источника загрузки лендинговую страницу, а не домен, с которого доставлена среда выполнения Bun. Сама метка MotW остается на месте.
«Если кампания действительно длится уже полтора года, а обнаружили ее только минувшей весной, речь идет о крайне успешном начинании, - говорит Александр Зонов, эксперт по информационной безопасности компании SEQ. - Отдельную озабоченность, безусловно, вызывает сам факт, что злоумышленники могут задействовать легитимный рантайм Bun для сборки вредоносного ПО. К сожалению, публикацию Confiant нельзя назвать исчерпывающей, поскольку она упускает важные детали касательно финального запуска вредоноса».
Действительно, Confiant не приводит никаких данных, что получается на выходе из компилятора.
В сентябре прошлого года компания Bitdefender идентифицировала другой, явно смежный кластер угроз, который распространял вредоносную рекламу от имени TradingView; жертвам в итоге подгружался инфостилер JSCEAL/WeevilProxy. Однако точных данных о том, какая вредоносная программа фигурирует в нынешней кампании, нет.
В любом случае, как пишут исследователи, уникальные сборки вредоноса для каждой сессии делают простые методы обнаружения на основе значения хэшей бесполезными. PE-файлы и байт-код, контролируемые злоумышленником, по-прежнему распространяются по сети. Для защиты потребуется изучать всю цепочку, начиная с реферальной ссылки на рекламу и скрытой лендинговой страницы, и заканчивая запросом /config, получением данных во время выполнения на вторичном домене и загрузкой ServiceWorker. Поиск какого-либо отдельного сетевого или файлового артефакта в данном случае не поможет.
Поделиться
