مهاجمان با بهره‌گیری از تبلیغات مخرب (Malvertising)، روش جدیدی را برای توزیع بدافزار توسعه داده‌اند که در آن صفحات جعلی پلتفرم‌های شناخته‌شده‌ای مانند سولانا (Solana)، لونو (Luno) و تریدینگ‌ویو (TradingView)، از مرورگر کاربران برای ساخت بدافزار با استفاده از جاوااسکریپت مخرب در حافظه استفاده می‌کنند. این کمپین تبلیغات مخرب که از اواخر سال 2024 فعال است، با هدف قرار دادن کاربران 12 کشور و ارائه محتوای جعلی به 25 زبان مختلف، عمدتاً فعالان حوزه رمزارز و بازارهای مالی در مناطق آسیا-اقیانوسیه و آمریکای لاتین را هدف قرار داده است و نشان می‌دهد که چگونه مهاجمان با استفاده از تکنیک‌های جدید، تلاش می‌کنند فرآیند شناسایی و تحلیل بدافزار را برای راهکارهای امنیتی دشوارتر کنند.
تبلیغات مخرب با سیستم فیلترینگ، کاربران واقعی را شناسایی می‌کند
این کمپین از یک سیستم فیلترینگ استفاده می‌کند تا تنها کاربران واقعی، از جمله فعالان بازارهای مالی و سرمایه‌گذاران رمزارز، به صفحات مخرب هدایت شوند. در مقابل، پژوهشگران امنیتی، ابزارهای اسکن و ربات‌های امنیتی به صفحاتی هدایت می‌شوند که محتوای واقعی حمله را نمایش نمی‌دهند تا این عملیات از دید ابزارهای تحلیل و بررسی پنهان بماند.
پلتفرم امنیت تبلیغات Confiant اعلام کرده است که ویژگی متمایز این کمپین، استفاده از مرورگر وب به‌عنوان یک پایپ‌لاین لوکال برای ساخت بدافزار است. در این روش، مرورگر کاربر تنها یک ابزار برای نمایش محتوا نیست، بلکه بخشی از فرآیند ساخت بدافزار را در محیط خود انجام می‌دهد. برخلاف روش‌های معمول توزیع بدافزار، در این حمله فایل مخرب نهایی از شبکه دانلود نمی‌شود. مهاجمان بخش‌های مورد نیاز برای ساخت آن را به مرورگر ارسال می‌کنند و مرورگر این بخش‌ها را کنار هم قرار می‌دهد تا فایل نهایی بدافزار ساخته شود.
استفاده از سرویس‌ورکر برای ساخت مرحله‌ای بدافزار
با وجود اینکه صفحات جعلی این کمپین تبلیغات مخرب تنها یک گزینه دانلود به کاربر نمایش می‌دهند، کتابخانه ReactJS موجود در لندینگ‌پیج (Landing Page) وظیفه آماده‌سازی مرورگر برای اجرای یک فرآیند دانلود کنترل‌شده را بر عهده دارد. این سازوکار که به‌طور معمول برای مدیریت انتقال انواع فایل استفاده می‌شود، در این حمله به ابزاری برای ایجاد و آماده‌سازی فایل بدافزار تبدیل شده است.
بر اساس تحلیل‌های Confiant، صفحه مخرب در نخستین مرحله یک سرویس‌ورکر (Service Worker) را در مرورگر ثبت می‌کند. این سرویس‌ورکر مانند یک سازوکار مدیریت دانلود (Download Manager) عمل کرده و با دریافت مرحله‌ای بخش‌های مختلف، به ساخت تدریجی فایل بدافزار کمک می‌کند. در مرحله بعد، صفحه یک Shared Worker (شِیرِد ورکر) ایجاد می‌کند که نقش پردازشگر اصلی این زنجیره را بر عهده دارد. این ورکر با دریافت کامپوننت‌های مورد نیاز در مراحل بعدی حمله، آن‌ها را پردازش کرده و به‌تدریج فایل مخرب نهایی را ایجاد می‌کند.
تولید فایل‌های منحصربه‌فرد برای عبور از شناسایی ایستا
پژوهشگران Confiant توضیح می‌دهند که در مرحله دوم حمله، لندینگ‌پیج با استفاده از Shared Worker، یک درخواست داخلی برای دریافت پاسخ /config ارسال می‌کند. این پاسخ شامل پارامترهایی مانند Seed و Size است که برای هر نشست به‌صورت تصادفی تولید می‌شوند و مقادیر منحصربه‌فردی دارند.
در این کمپین تبلیغات مخرب، مهاجمان با تغییر مداوم این پارامترها، باعث می‌شوند فایل بدافزار تولیدشده در هر اجرا، دارای یک هش منحصربه‌فرد باشد. این تکنیک باعث می‌شود راهکارهای امنیتی مبتنی بر شناسایی ایستا (Static Detection) برای شناسایی نمونه‌های مخرب با چالش بیشتری مواجه شوند، زیرا هر بار نسخه‌ای متفاوت از فایل بدافزار ایجاد می‌شود.
به گفته Confiant، پاسخ /config یک پاسخ دانلود معمولی نیست، بلکه یک پاسخ ساختاری است که قالب و ورودی‌های مورد نیاز مرورگر را برای ساخت فایل در همان محیط فراهم می‌کند.
ایجاد پیلود مخرب در محیط مرورگر
کامپوننت‌های دریافت‌شده از راه دور و بایت‌هایی که در سیستم کاربر تولید می‌شوند، در نهایت برای ایجاد پیلود مخرب به کار گرفته می‌شوند. این پیلود با استفاده از یک نسخه سالم از فایل اجرایی Bun ساخته می‌شود و در پایان فرآیند، به یک فایل اجرایی بدافزار تبدیل خواهد شد.
پس از آماده شدن فایل اجرایی نهایی، صفحه دانلود جعلی آن را در اختیار همان سرویس‌ورکر اولیه قرار می‌دهد و فرآیند دانلود را از طریق همان دامنه لندینگ‌پیج آغاز می‌کند. به این ترتیب، از دید مرورگر، فایل اجرایی مستقیماً از دامنه‌ای دانلود می‌شود که لندینگ‌پیج در آن قرار دارد. در نتیجه، فایل نهایی همچنان نشانگر امنیتی وب (Mark-of-the-Web یا MOTW) را دریافت می‌کند و از دید مرورگر و سیستم‌عامل، همچنان یک فایل دریافت‌شده از وب محسوب می‌شود؛ حتی اگر بخشی از کامپوننت‌های سازنده آن از منابع دیگری فراهم شده باشند.
مزیت اصلی این روش در آن است که هیچ فایل نهایی و آماده‌ای از طریق شبکه منتقل نمی‌شود. در نتیجه، احتمال شناسایی حمله کاهش یافته و تحلیل نمونه بدافزار برای کارشناسان امنیتی پیچیده‌تر می‌شود.
این تکنیک یکی از روش‌های پیشرفته در تبلیغات مخرب مدرن است که در آن مهاجمان به‌جای ارسال یک فایل بدافزار آماده از سرور خود، فرآیند ایجاد و آماده‌سازی آن را در محیط مرورگر قربانی اجرا می‌کنند.
تغییر روش توزیع در کمپین SourTrade
بر اساس گزارش Confiant، نسخه‌های قدیمی‌تر کمپین SourTrade برای توزیع پیلود مخرب از پروژه StreamSaver در گیت‌هاب استفاده می‌کردند. با این حال، مهاجمان از ماه آوریل روش خود را تغییر داده‌اند و اکنون از سازوکار توزیع مبتنی بر سرویس‌ورکر با مبدأ یکسان (Same-Origin ServiceWorker Delivery) استفاده می‌کنند.
اگرچه پژوهشگران Confiant اطلاعات دقیقی درباره نوع پیلود مورد استفاده در نسخه جدید این کمپین ارائه نکرده‌اند، اما یافته‌های آن‌ها با گزارش سال 2025 شرکت بیت‌دیفندر (Bitdefender) درباره یک عملیات پایدار تبلیغات مخرب مطابقت دارد. این گزارش نشان می‌دهد که مهاجمان در نسخه‌های قبلی این کمپین از پروژه StreamSaver برای توزیع بدافزار استفاده کرده بودند.
بر اساس تحلیل‌های بیت‌دیفندر، پیلود این کمپین قابلیت‌های مخربی مانند موارد زیر را داشته است:
- رهگیری تمام ترافیک شبکه کاربر و استفاده از سیستم به‌عنوان یک پروکسی
- جمع‌آوری اطلاعات کوکی‌ها و رمزهای عبور
- ثبت کلیدهای فشرده‌شده توسط کاربر (Keylogging) و تهیه اسکرین‌شات
- سرقت اطلاعات کیف پول‌های رمزارزی
- ایجاد پایداری طولانی‌مدت (Long-Term Persistence) در سیستم قربانی
راهکارهای مقابله با تبلیغات مخرب
از آنجا که کمپین SourTrade کاربران فعال در حوزه معاملات مالی و سرمایه‌گذاری رمزارز را هدف قرار داده است، کارشناسان امنیتی توصیه می‌کنند کاربران برای دریافت برنامه‌های مالی و رمزارزی به تبلیغات شبکه‌های اجتماعی یا تبلیغات پولی موتورهای جست‌وجو اعتماد نکنند.
بهترین روش، دریافت فایل‌های اجرایی از وب‌سایت رسمی شرکت‌ها و منابع معتبر است. همچنین کاربران باید پیش از اجرای فایل نصب (Installer)، امضای دیجیتال و اطلاعات مربوط به ارائه‌دهنده نرم‌افزار را بررسی کنند تا از معتبر بودن منبع فایل اطمینان یابند.
