Campanha SourTrade monta malware financeiro dentro da memória do navegador em sites falsos de cripto
A campanha de malvertising SourTrade, ativa desde o fim de 2024 em 25 idiomas e 12 países, replica páginas falsas de Solana, Luno e TradingView para atrair traders e investidores em cripto. Em vez de entregar um executável pronto, o JavaScript da página monta o malware peça por peça dentro da memória do navegador, driblando antivírus e inspeção de rede. O payload final é um infostealer que rouba senhas, cookies e carteiras de criptomoedas, com foco direto em fraude financeira.
A SourTrade é uma operação de malvertising em larga escala que usa anúncios falsos de plataformas de negociação e câmbio de cripto — imitando marcas conhecidas como Solana, Luno e TradingView — para atrair vítimas interessadas em investimentos digitais. O golpe não depende de engenharia social sofisticada no primeiro contato: basta o clique em um anúncio para iniciar a cadeia de infecção, o que amplia enormemente o alcance da campanha em relação a phishing tradicional.
O diferencial técnico está em como o malware chega ao dispositivo. A página maliciosa registra um service worker que funciona como gerenciador de download e usa um SharedWorker para buscar parâmetros aleatórios de um endpoint de configuração, gerando um hash único a cada sessão. Com isso, o navegador é transformado em uma linha de montagem local: fragmentos remotos são combinados com bytes gerados no próprio cliente, a partir de um executável legítimo (Bun), até formar o payload final — que nunca trafega completo pela rede e, por isso, escapa de assinaturas estáticas e de boa parte da inspeção de tráfego. Um sistema de filtragem adicional identifica pesquisadores de segurança e bots e os redireciona para páginas em branco, dificultando a análise.
Uma vez montado, o malware atua como um stealer completo: intercepta tráfego via proxy, rouba cookies de sessão e senhas salvas, captura teclas digitadas e telas, e vai atrás especificamente de dados de carteiras cripto, além de manter persistência de longo prazo no equipamento infectado. Na prática, isso converte a vítima em alvo de fraude financeira direta — takeover de contas de exchange, esvaziamento de wallets e reutilização das credenciais roubadas em outros serviços.
Como o vetor de entrada é o anúncio, a defesa mais eficaz é comportamental: desconfiar de anúncios em redes sociais que prometem plataformas de trading ou apps financeiros, baixar esse tipo de aplicativo somente pelo site oficial da instituição ou lojas oficiais, e verificar a assinatura digital de qualquer instalador antes de executá-lo. Para equipes de segurança, vale monitorar domínios recém-registrados que imitam marcas financeiras e considerar EDR capaz de inspecionar comportamento de service workers e SharedWorkers, já que a ausência de um arquivo final transmitido pela rede torna a detecção tradicional baseada em hash pouco eficaz.