Malvertising SourTrade: Malware Dirakit oleh Browser dengan Bun Runtime

Operasi malvertising bernama SourTrade menghadirkan teknik baru dengan memaksa browser korban merakit sendiri file eksekusi Windows berbahaya. Alih-alih mengirim satu file malware lengkap melalui URL tetap, SourTrade menggunakan runtime Bun yang sah sebagai basis agar browser membangun executable secara dinamis.

Menurut laporan Confiant pada 23 Juli 2026, kampanye ini sudah berjalan sejak akhir 2024 dan menyamar sebagai layanan terkenal seperti TradingView, Solana, dan Luno. Target utamanya adalah trader ritel dan investor cryptocurrency di 12 negara dengan 25 bahasa berbeda.

Teknik Penyebaran dan Pemilihan Target

Halaman landing SourTrade melakukan fingerprinting pengunjung, menampilkan halaman kosong untuk peneliti dan bot yang diduga, sementara target terpilih dipaparkan tiruan situs yang meyakinkan. Strategi pertahanan utama adalah memastikan pengguna mengunduh perangkat lunak trading dan dompet digital langsung dari situs resmi vendor, bukan melalui iklan.

Kampanye ini tidak memanfaatkan kerentanan browser dan tidak menghilangkan Mark of the Web (MotW). Confiant menegaskan analisisnya berfokus pada bagaimana file dikirim, bukan pada eksekusi dalam browser, serta belum memastikan apakah unduhan file dimulai otomatis atau perlu klik pengguna.

Bagaimana Browser Merakit Malware

Proses dimulai saat halaman landing mendaftarkan ServiceWorker terikat halaman di /sw.js, lalu membangun SharedWorker dari JavaScript yang sudah tertanam di halaman, sehingga kode worker tidak diambil sebagai permintaan terpisah.

SharedWorker meminta konfigurasi di /config, yang mengembalikan template, URL runtime sekunder, dan nilai acak khusus sesi. Browser kemudian mengunduh dan mendekompres runtime Bun yang bersih dari domain kedua, purelogicbox[.]org, sesuai contoh respons yang dipublikasikan.

Blob Base64 dalam konfigurasi menyediakan header Portable Executable (PE), tabel bagian, dan bagian .bun berisi bytecode JavaScriptCore berbahaya untuk app.js. Bun dijalankan di atas mesin JavaScriptCore Apple dan secara sah mendukung kompilasi aplikasi serta bytecode menjadi executable Windows mandiri.

Selanjutnya, worker menghasilkan aliran byte pseudorandom besar menggunakan AES dalam mode counter (AES-CTR). Sesuai template, worker menggabungkan potongan dari runtime Bun, aliran byte acak, dan bahan executable yang dikontrol penyerang menjadi satu file lengkap.

Setiap korban menerima file yang berbeda karena seed dan ukuran di tiap respons /config berubah sehingga hash file juga berbeda, meski kode payload tetap sama. Michael Steele dari tim intelijen ancaman Confiant menyatakan, "Malware selesai tidak pernah ada secara utuh di jaringan." Struktur PE dan bytecode memang dikirim dalam Base64 di /config tapi file executable utuh tidak pernah muncul sebagai satu kesatuan.

Proses Unduhan dan Penyamaran

Setelah perakitan, halaman mengoper file executable ke ServiceWorker sebagai aliran terbaca. Iframe tersembunyi diarahkan ke URL dengan domain sama, dan worker mengembalikan byte dengan header Content-Disposition: attachment. Rekaman MotW menunjukkan halaman landing sebagai sumber unduhan, bukan domain yang mengirim runtime Bun, sehingga MotW tetap ada.

Metode ini berkembang dari aktivitas yang dipantau Confiant hingga 30 April 2026, saat halaman memuat StreamSaver.js dari GitHub Pages pembuatnya, sehingga jalur unduhan tercatat ke URL GitHub tersebut. Saat ini, arsitektur streaming masih dipertahankan dengan nama pesan streamsaver: tetapi tidak lagi mengambilnya dari GitHub.

Hubungan dengan Kampanye Sebelumnya dan Ancaman

Bitdefender pada September 2025 melaporkan klaster malvertising TradingView serupa, dengan payload akhir berupa stealer yang dikenal oleh Check Point sebagai JSCEAL dan oleh WithSecure sebagai WeevilProxy.

Confiant menemukan kesamaan kampanye dan karakteristik executable, namun belum membuktikan bahwa tiga sampel terbaru memuat payload tersebut. Mereka juga mencatat adanya Bun executable yang dimodifikasi dalam klaster ini.

Keterangan dari The Hacker News menyebutkan tidak ada referensi Bun dalam laporan Bitdefender 2025 yang disebutkan Confiant, yang justru menyebut loader terdeteksi sebagai Variant.DenoSnoop.Marte.1. Oleh karena itu, kemampuan pencurian kredensial, keylogging, penyadapan lalu lintas, pencurian dompet, dan akses jarak jauh yang terdokumentasi tidak bisa langsung dikaitkan dengan file terbaru ini.

Tantangan Deteksi dan Implikasi Keamanan

Tidak ada patch perangkat lunak yang bisa diterapkan untuk mengatasi teknik ini. Meski terlihat rumit, evasi ini sebenarnya terbatas pada pembangunan unik tiap sesi yang membuat deteksi sederhana berbasis hash menjadi tidak efektif.

Para penangkal disarankan menganalisis keseluruhan rantai serangan, mulai dari referensi iklan, halaman landing yang disamarkan, permintaan /config, pengambilan runtime dari domain kedua, hingga unduhan melalui ServiceWorker. Mengandalkan satu artefak jaringan atau file saja tidak cukup untuk mendeteksi ancaman ini.

Confiant telah mempublikasikan tiga hash SHA-256 dan daftar lebih dari 96 domain berbahaya yang digunakan, meskipun belum mengungkap pelaku dan menghentikan analisis saat file mulai tersimpan di disk.

Analisis Redaksi

Menurut pandangan redaksi, teknik SourTrade ini menandai evolusi signifikan dalam malvertising dengan memanfaatkan runtime yang sah untuk merakit malware secara dinamis dalam browser korban. Langkah ini memperumit deteksi tradisional yang mengandalkan file statis dan hash tetap, sehingga memperpanjang waktu malware dapat beroperasi tanpa terdeteksi.

Strategi ini juga menunjukkan bagaimana pelaku kejahatan siber semakin canggih dalam menghindari mekanisme pertahanan yang ada, dengan menggunakan teknologi web modern seperti ServiceWorker dan SharedWorker secara kreatif. Implikasinya, organisasi dan pengguna perlu memperketat verifikasi sumber perangkat lunak dan memperhatikan perilaku tidak biasa pada browser dan unduhan.

Ke depan, pembuat keamanan harus mengembangkan metode deteksi yang lebih holistik dan kontekstual, termasuk pemantauan interaksi jaringan yang kompleks dan perilaku runtime, bukan hanya mengandalkan signature statis. Masyarakat juga disarankan untuk selalu mengunduh aplikasi dari situs resmi dan menghindari tautan dari iklan yang tidak terpercaya.

Untuk update terbaru dan pembahasan mendalam tentang keamanan siber lain, tetap ikuti berita kami di Google News, Twitter, dan LinkedIn.