Malvertising SourTrade Ubah Browser Jadi Perakit Malware

Pelaku serangan siber terus mencari cara baru untuk menghindari sistem keamanan. Salah satunya dilakukan melalui kampanye malvertising bernama SourTrade, yang menggunakan teknik berbeda dari penyebaran malware pada umumnya.

Alih-alih mengirim satu file malware yang sudah lengkap dari sebuah server, pelaku justru memanfaatkan browser korban untuk merakit sendiri file executable Windows. Potongan-potongan yang dibutuhkan dikirim melalui jaringan, kemudian disusun menjadi file berbahaya di perangkat korban.

Teknik tersebut memanfaatkan Bun, sebuah runtime JavaScript yang sebenarnya merupakan perangkat lunak sah. Dengan menjadikan runtime tersebut sebagai salah satu komponen dasar, pelaku dapat menyamarkan proses pembuatan malware sekaligus membuat setiap file hasil rakitan memiliki karakteristik berbeda.

Perusahaan keamanan siber Confiant mengungkap aktivitas SourTrade pada 23 Juli 2026. Menurut perusahaan tersebut, operasi ini telah berjalan sejak akhir 2024 dan menyasar trader ritel serta investor cryptocurrency di 12 negara dengan menggunakan 25 bahasa.

Dalam operasinya, pelaku menyamar sebagai sejumlah layanan populer, termasuk TradingView, Solana, dan Luno. Target diarahkan melalui iklan berbahaya atau malvertising yang kemudian membawa mereka ke halaman yang telah disiapkan penyerang.

Menyamar sebagai Layanan Populer

Salah satu bagian penting dalam serangan SourTrade adalah kemampuan halaman berbahaya untuk membedakan siapa yang mengaksesnya. Ketika seseorang membuka landing page, sistem akan melakukan fingerprinting. Secara sederhana, teknik ini digunakan untuk mengumpulkan karakteristik tertentu dari perangkat dan lingkungan pengunjung.

Informasi tersebut kemudian digunakan untuk menentukan bagaimana halaman akan ditampilkan.

Jika sistem menduga pengunjung merupakan peneliti keamanan siber atau bot, halaman dapat menampilkan halaman kosong sehingga aktivitas berbahaya tidak mudah dianalisis. Namun, apabila pengunjung dianggap sebagai target yang sesuai, halaman akan menampilkan salinan layanan yang sedang ditiru.

Cara tersebut membuat korban merasa sedang mengakses situs atau layanan yang sah. Confiant menyebut kampanye ini menggunakan mekanisme berbasis klik. Artinya, korban tidak langsung dialihkan secara paksa ke situs berbahaya.

Korban pertama-tama harus mengeklik iklan yang muncul. Setelah halaman berbahaya terbuka, korban masih harus melakukan klik berikutnya untuk memulai proses pengunduhan. Model seperti ini membuat serangan terlihat lebih seperti aktivitas pengguna biasa dibandingkan pengalihan otomatis.

Karena itu, langkah perlindungan paling sederhana tetap penting. Pengguna sebaiknya mengunduh aplikasi trading, cryptocurrency wallet, maupun software lain langsung dari situs resmi penyedia layanan, bukan melalui iklan yang muncul di mesin pencari atau halaman pihak ketiga.

Browser Mulai Menyiapkan Proses Perakitan

Yang membuat SourTrade menarik adalah proses pembuatan file berbahaya sudah dimulai bahkan sebelum pengguna menekan tombol unduhan. Halaman berbahaya terlebih dahulu mendaftarkan ServiceWorker melalui alamat /sw.js.

ServiceWorker merupakan teknologi browser yang memungkinkan halaman web menjalankan proses tertentu di latar belakang dan menangani permintaan jaringan. Dalam kasus ini, teknologi tersebut dimanfaatkan sebagai bagian dari mekanisme pengiriman file hasil rakitan.

Setelah itu, halaman membuat SharedWorker menggunakan kode JavaScript yang sudah tertanam di dalam halaman. Karena kode tersebut telah tersedia di halaman, browser tidak perlu mengambil file worker sebagai permintaan terpisah.

SharedWorker kemudian mengirim permintaan ke endpoint /config.

Respons dari server tersebut menjadi semacam petunjuk bagi browser. Di dalamnya terdapat template, alamat runtime kedua, serta sejumlah nilai acak yang dibuat khusus untuk sesi korban. Browser kemudian mengambil runtime Bun yang bersih dari domain kedua dan melakukan proses dekompresi. Dalam sampel yang dianalisis Confiant, runtime tersebut berasal dari domain purelogicbox[.]org .

Di sinilah penggunaan Bun menjadi bagian penting dari teknik serangan.

Bun sendiri bukan malware. Bun merupakan runtime JavaScript yang sah dan menggunakan mesin JavaScriptCore milik Apple. Runtime tersebut memang dapat digunakan untuk mengompilasi aplikasi dan bytecode menjadi executable mandiri, termasuk untuk Windows.

Dengan memanfaatkan kemampuan software yang sah tersebut, pelaku menjadikannya sebagai dasar untuk membangun file yang nantinya memiliki muatan berbahaya.

Potongan Malware Digabung di Browser

Setelah runtime tersedia, browser menerima komponen lain yang diperlukan untuk membentuk executable.

Konfigurasi yang dikirim server berisi sejumlah data dalam format Base64. Data tersebut menyediakan struktur penting dari file Portable Executable (PE), format yang digunakan untuk file executable di Windows.

• Komponen yang dikirim antara lain header PE, tabel section, serta section .bun.
• Section .bun tersebut berisi bytecode JavaScriptCore berbahaya untuk app.js.
• Browser kemudian melakukan proses perakitan.

Worker menghasilkan aliran byte pseudorandom berukuran besar menggunakan AES dalam mode counter atau AES-CTR. Setelah itu, browser mengikuti template yang diberikan server untuk menentukan bagian mana yang harus diambil dari setiap sumber.

Secara sederhana, proses tersebut dapat dibayangkan seperti menyusun puzzle. Sebagian potongan berasal dari runtime Bun. Sebagian lainnya berasal dari aliran byte yang dihasilkan secara acak. Sementara bagian penting lainnya dikendalikan oleh penyerang. Semua komponen kemudian digabungkan sehingga membentuk sebuah file executable Windows.

Dengan cara ini, server tidak perlu mengirim satu file malware lengkap kepada korban.

File Setiap Korban Bisa Berbeda

Teknik tersebut juga memberikan keuntungan bagi penyerang karena file yang diterima setiap korban tidak harus identik. Dalam setiap respons /config, pelaku dapat mengubah seed dan ukuran data yang digunakan dalam proses perakitan. Perubahan tersebut menyebabkan hash file yang dihasilkan ikut berubah.

Padahal, kode payload executable di dalamnya dapat tetap sama.

Bagi sistem keamanan yang mengandalkan hash sebagai salah satu indikator utama, kondisi ini menjadi tantangan. Satu hash yang sudah diketahui tidak otomatis dapat digunakan untuk mengenali semua file yang dihasilkan oleh kampanye tersebut.

Michael Steele dari tim threat intelligence Confiant menjelaskan bahwa tidak ada malware dalam bentuk file lengkap yang berada di jaringan selama proses pengiriman.

Namun, hal ini bukan berarti tidak ada komponen berbahaya yang dikirim melalui jaringan.

Struktur PE dan bytecode yang diperlukan untuk membuat executable tetap dikirim kepada browser. Hanya saja, komponen tersebut dikirim dalam bentuk terpisah dan baru menjadi file utuh setelah proses perakitan selesai di perangkat korban.

Dengan kata lain, malware tidak dikirim sebagai satu paket jadi, tetapi browser korban digunakan untuk menyelesaikan proses pembuatannya.

ServiceWorker Mengirim File yang Sudah Jadi

Setelah browser berhasil merakit executable, file tersebut diteruskan ke ServiceWorker sebagai sebuah readable stream. Kemudian, sebuah iframe tersembunyi mengakses URL dengan origin yang sama. ServiceWorker merespons permintaan tersebut dengan byte executable yang sudah dirakit.

Respons tersebut juga menggunakan header Content-Disposition: attachment. Header tersebut memberi tahu browser bahwa data yang diterima harus diperlakukan sebagai file yang dapat diunduh.

Menariknya, teknik SourTrade tidak menghilangkan Mark of the Web (MotW). MotW merupakan informasi yang digunakan Windows untuk menandai file yang berasal dari internet. Pada kasus ini, catatan tersebut tetap ada dan menunjukkan landing page sebagai sumber unduhan.

Dengan demikian, teknik yang digunakan SourTrade bukanlah cara untuk menghapus jejak MotW. Tantangannya lebih terletak pada bagaimana file tersebut dibangun dan bagaimana hash-nya dapat berubah dari satu korban ke korban lainnya.

Teknik SourTrade Terus Berubah

Confiant mengatakan teknik ini merupakan perkembangan dari aktivitas yang mereka pantau hingga 30 April 2026. Pada versi sebelumnya, halaman berbahaya menggunakan StreamSaver.js, library open source yang dapat membantu proses pengunduhan berbasis streaming.

Saat itu, library tersebut diambil dari alamat GitHub Pages milik pengembangnya. Kondisi tersebut dapat membuat jalur pengunduhan yang tercatat pada perangkat korban mengarah ke URL GitHub. Dalam versi terbaru, pelaku masih mempertahankan arsitektur streaming yang digunakan StreamSaver.js, termasuk nama pesan seperti streamsaver:.

Namun, mereka tidak lagi mengambil library tersebut langsung dari GitHub. Perubahan ini membuat rantai serangan menjadi lebih sulit ditelusuri hanya berdasarkan satu alamat atau sumber unduhan.

Diduga Berkaitan dengan Kampanye TradingView

SourTrade juga memiliki sejumlah karakteristik yang mengingatkan pada kampanye malvertising terkait TradingView yang sebelumnya ditemukan Bitdefender pada September 2025. Dalam penelitian tersebut, payload akhirnya diidentifikasi sebagai stealer yang disebut JSCEAL oleh Check Point dan WeevilProxy oleh WithSecure.

Confiant menemukan sejumlah kesamaan antara karakteristik kampanye tersebut dan aktivitas SourTrade. Namun, perusahaan keamanan tersebut belum membuktikan bahwa tiga sampel yang mereka analisis membawa payload yang sama.

Ada pula koreksi penting mengenai kaitan Bun dengan penelitian Bitdefender.

Dalam laporan sebelumnya, Confiant sempat menyebut bahwa Bitdefender menemukan executable Bun yang telah dimodifikasi dalam cluster tersebut. Namun, The Hacker News kemudian menemukan bahwa artikel Bitdefender yang dirujuk tidak menyebut Bun.

Artikel tersebut justru mencantumkan loader dengan nama deteksi Variant.DenoSnoop.Marte.1. Confiant kemudian meninjau kembali laporan Bitdefender dan mengonfirmasi bahwa memang tidak terdapat penyebutan Bun.

Pada 26 Juli 2026, Confiant memperbarui laporannya dan memberikan koreksi mengenai informasi tersebut.

Karena itu, kemampuan yang sebelumnya ditemukan dalam kampanye terkait, seperti pencurian kredensial, keylogging, penyadapan lalu lintas, pencurian wallet, dan akses jarak jauh, belum dapat dipastikan terdapat pada file SourTrade yang dianalisis saat ini.

Bukan Serangan yang Bisa Dihentikan dengan Patch

SourTrade bukan jenis serangan yang dapat diselesaikan dengan sekadar memasang pembaruan atau patch pada software. Teknik tersebut lebih berfokus pada cara menghindari metode deteksi tertentu. Menurut Confiant, dampak yang paling jelas adalah berkurangnya efektivitas deteksi berbasis hash. Karena file dapat dirakit secara berbeda pada setiap sesi, hash yang dihasilkan juga dapat berubah.

Namun, bukan berarti serangan tersebut tidak meninggalkan jejak. Komponen PE dan bytecode yang dikendalikan penyerang tetap harus melewati jaringan. Aktivitas pada /config, pengambilan runtime dari domain kedua, penggunaan ServiceWorker, hingga proses pembuatan file dapat menjadi indikator yang berguna bagi sistem keamanan.

Karena itu, tim keamanan disarankan untuk tidak hanya mencari satu file atau satu URL mencurigakan.

Rantai Serangan Perlu Dianalisis Secara Utuh

Confiant menyarankan pendekatan yang melihat keseluruhan rangkaian serangan. Analisis dapat dimulai dari iklan yang membawa korban menuju landing page. Setelah itu, tim keamanan dapat memeriksa aktivitas fingerprinting, permintaan ke endpoint /config, pengambilan runtime dari domain sekunder, hingga aktivitas ServiceWorker dan proses streaming file.

File executable yang akhirnya tersimpan di perangkat juga tetap perlu diperiksa. Pendekatan ini penting karena tidak ada satu artefak yang dapat menggambarkan keseluruhan kampanye.

Confiant telah mempublikasikan tiga hash SHA-256 serta daftar domain yang digunakan dalam aktivitas berbahaya tersebut. Hingga laporan tersebut diterbitkan, Confiant belum mengungkap siapa aktor di balik operasi SourTrade. Analisis perusahaan juga berhenti pada tahap ketika file hasil rakitan akhirnya masuk ke perangkat korban.

SourTrade Menunjukkan Evolusi Malvertising

Kampanye SourTrade memperlihatkan bahwa malvertising tidak lagi sekadar mengandalkan file malware yang di-host di sebuah server dan kemudian diunduh secara langsung. Pelaku kini dapat memanfaatkan kemampuan browser untuk melakukan sebagian proses pembangunan file.

Penggunaan runtime Bun yang sah sebagai salah satu komponen juga menunjukkan bagaimana software legal dapat disalahgunakan sebagai bagian dari rantai serangan. Teknik seperti ini membuat batas antara aktivitas normal dan berbahaya menjadi semakin sulit dibedakan jika hanya melihat satu komponen.

Meski demikian, bukan berarti serangan tersebut tidak bisa dideteksi. Jejak tetap muncul di berbagai tahapan, mulai dari iklan, landing page, permintaan konfigurasi, koneksi ke domain sekunder, aktivitas worker, hingga file yang akhirnya tersimpan di perangkat.

Bagi pengguna, langkah pencegahan yang paling sederhana sekaligus penting adalah tidak sembarangan mengunduh software dari iklan internet.

Terutama untuk aplikasi trading dan cryptocurrency wallet, pengguna sebaiknya mengetik sendiri alamat situs resmi penyedia layanan atau menggunakan sumber resmi yang telah diverifikasi.

SourTrade pada akhirnya menunjukkan satu hal penting dalam keamanan siber: file malware tidak selalu datang dalam bentuk file malware yang sudah jadi. Dalam kasus tertentu, browser korban justru dapat menjadi bagian dari proses yang membuat potongan-potongan kode tersebut berubah menjadi sebuah executable berbahaya.