Uma operação de publicidade maliciosa denominada SourTrade, que atinge inclusive o Brasil, está utilizando uma técnica inédita para evitar a detecção por sistemas de segurança: em vez de entregar um arquivo malicioso completo pela rede, a campanha faz com que o próprio navegador da vítima monte o executável final em sua memória, peça por peça. De acordo com um relatório da empresa de segurança Confiant, a campanha, ativa desde o final de 2024, entrega instruções de montagem para o navegador, que então busca um arquivo legítimo e limpo em uma infraestrutura separada e o combina com componentes maliciosos para gerar o payload final.
O relatório completo, publicado em 23 de julho de 2026, detalha que a SourTrade tem como alvo principal investidores de varejo e usuários de criptomoedas, utilizando anúncios que imitam plataformas legítimas como TradingView, Solana e Luno. A operação é geograficamente ampla, alcançando 12 países e suportando 25 idiomas, com foco nas regiões da Ásia-Pacífico e América Latina. A página de destino da campanha utiliza um kit de “cloaking” para identificar e separar analistas de segurança e bots de vítimas reais, exibindo uma página em branco para os primeiros e uma réplica convincente da plataforma para os segundos.
Funcionamento da montagem no navegador
A técnica de evasão da SourTrade é sua característica mais marcante. Ao acessar a página maliciosa, o navegador da vítima prepara um pipeline de montagem local. Inicialmente, um ServiceWorker é registrado para gerenciar a entrega do arquivo. Em seguida, um SharedWorker, criado a partir de JavaScript embutido na página, faz uma requisição ao endpoint /config. Este endpoint não retorna um malware pronto, mas sim uma “receita” de montagem: um template, uma URL para buscar um runtime legítimo e valores aleatórios gerados por sessão.
O navegador então realiza os seguintes passos:
- Busca um runtime Bun limpo (um ambiente de execução JavaScript) de uma infraestrutura secundária.
- Gera localmente um fluxo de bytes pseudoaleatórios usando AES-CTR, baseado nos valores aleatórios recebidos.
- Segue o template, que funciona como uma receita de cópia de bytes, combinando o runtime Bun, os bytes gerados e os blobs em Base64 fornecidos pelo
/config(que contêm a estrutura do executável PE e o bytecode malicioso).
O resultado é um arquivo executável (.exe) para Windows montado inteiramente na memória do navegador da vítima. Nenhum malware completo trafega pela rede em nenhum momento. Cada montagem gera um hash de arquivo único devido aos valores aleatórios por sessão, o que torna a detecção baseada em assinaturas ineficaz. A entrega final ocorre por meio de um download de mesma origem, gerenciado pelo ServiceWorker, que faz com que o navegador veja o download como vindo do próprio domínio da página de destino.
Implicações e recomendações
Michael Steele, pesquisador de inteligência de ameaças da Confiant, afirmou que “as ferramentas de segurança veem apenas componentes limpos. Os logs de rede registram um download de aparência legítima. O ataque completo só é visível quando toda a cadeia de execução é examinada”. Embora não tenha sido confirmado se o download final é automático ou requer um clique do usuário, a técnica representa um avanço significativo na evasão de defesas tradicionais. A Confiant publicou uma lista com mais de 90 domínios utilizados na campanha e três hashes SHA-256 como indicadores de comprometimento (IOCs).
A recomendação principal para defesa é que usuários e investidores baixem software financeiro e de criptomoedas exclusivamente dos sites oficiais dos provedores, evitando clicar em links patrocinados em anúncios ou resultados de pesquisa. Para equipes de segurança, o monitoramento não deve se basear apenas em hashes de arquivos, mas sim na análise do comportamento completo da cadeia de conexões, incluindo requisições anormais a domínios suspeitos e a atividade de ServiceWorkers não autorizados.
