Una campaña de malvertising activa desde finales de 2024 utiliza sitios falsos de Solana, Luno y TradingView con JavaScript malicioso para ensamblar malware directamente en la memoria del navegador, afectando principalmente a usuarios en Asia Pacífico y Latinoamérica.
Por qué importa: Esta técnica evita la transmisión de archivos maliciosos completos por la red, dificultando la detección y el análisis del malware.
Lo esencial
- La campaña usa páginas falsas que filtran a usuarios reales y redirigen a bots a páginas en blanco.
- El malware se construye en memoria mediante un Service Worker y un SharedWorker que ensamblan componentes remotos y locales.
- El archivo malicioso final tiene un hash único por sesión para evadir detección estática.
Uso innovador del navegador como ensamblador local
La campaña aprovecha el navegador web como una "línea de ensamblaje local" para el malware. Un Service Worker actúa como gestor de descargas y un SharedWorker ensambla el malware desde componentes recibidos en etapas posteriores. Esto permite construir el archivo malicioso en memoria sin enviar un archivo completo por la red.
Filtrado selectivo de víctimas y evasión de análisis
Solo usuarios reales, como traders minoristas e inversores en criptomonedas, acceden a las páginas maliciosas. Investigadores, escáneres y bots de seguridad son redirigidos a páginas en blanco, dificultando la detección temprana. Además, la rotación de parámetros en la configuración genera hashes únicos para cada archivo, evitando firmas estáticas.
