這是一個非常典型的現代惡意軟體遞送案例，名為 SourTrade 的攻擊行動展示了攻擊者如何將「組裝過程」從伺服器端移到使用者的瀏覽器端，藉此繞過傳統的網路安全偵測。對於工程師來說，理解這個流程能讓我們明白為什麼單純依賴檔案雜湊值（Hash）或單一 URL 封鎖已經不足以應對目前的威脅。
攻擊背景與目標
SourTrade 是一個針對加密貨幣投資者與零售交易者的惡意廣告（Malvertising）活動。攻擊者透過偽裝成知名平台如 TradingView、Solana 或 Luno 的廣告，將使用者導向精心設計的釣魚頁面。為了躲避安全研究人員的追蹤，該頁面會進行指紋識別（Fingerprinting），如果偵測到訪問者是機器人或研究人員，會顯示空白頁面；只有被選中的目標才會看到偽造的服務介面。
核心技術突破：在瀏覽器內組裝執行檔
傳統的惡意軟體下載通常是從一個固定 URL 下載一個完整的 .exe 檔案。這種方式很容易被防火牆或防毒軟體透過檔案雜湊值（Hash）直接攔截。SourTrade 採取了完全不同的策略：它不在網路傳輸完整的惡意檔案，而是在使用者的瀏覽器記憶體中「現場組裝」。
這個過程利用了一個名為 Bun 的合法執行環境。Bun 是一個現代的 JavaScript 執行階段（Runtime），它具有將 JavaScript 代碼編譯成獨立 Windows 執行檔（Standalone Executable）的能力。
具體的組裝流程如下
首先，當使用者進入頁面後，瀏覽器會註冊一個 ServiceWorker（一種在背景運行的 Web Worker，可用於攔截網路請求與快取管理）以及一個 SharedWorker。這讓攻擊者可以在不觸發明顯的外部檔案請求的情況下，在後台準備下載路徑。
接著，瀏覽器會從另一個域名下載一個乾淨、合法的 Bun Runtime 執行檔。由於這個檔案本身是合法的工具，不會觸發安全警報。
同時，攻擊者會發送一個配置檔案（config），其中包含以 Base64 編碼的片段，包括 Windows 執行檔的 PE Header（可執行檔案標頭，定義檔案結構）以及惡意 JavaScriptCore 字節碼（Bytecode）。
最後，瀏覽器利用 AES-CTR 模式生成隨機字節流，並根據配置檔案提供的配方，將合法 Bun Runtime 的部分片段、隨機字節以及惡意代碼拼湊在一起。
這種做法導致了一個關鍵結果：每個受害者的瀏覽器組裝出的檔案雜湊值（Hash）都不同，但其核心功能完全一致。因為惡意程式在傳輸過程中是以碎片形式存在的，網路層級的掃描工具無法在線路中發現完整的惡意二進位檔案。
繞過防禦機制與實際影響
在檔案組裝完成後，攻擊者利用隱藏的 iframe 與 ServiceWorker 配合，將記憶體中的數據流轉化為下載檔案。
值得注意的是，這種方式並沒有移除 Mark of the Web（MotW）。MotW 是 Windows 用來標記檔案來自網路的機制，用以提醒使用者執行時需謹慎。雖然 MotW 依然存在，但因為下載來源被偽裝成目前的 landing page，而非提供 Bun Runtime 的第三方域名，這增加了欺騙性。
從實務角度來看，這種攻擊模式對安全團隊提出了挑戰。如果你只監控單一檔案的 Hash，或者只封鎖單一的惡意域名，將無法有效攔截此類攻擊。
工程實務建議
面對這種動態組裝的攻擊，防禦重點應從單點偵測轉向全路徑分析。
第一，不要依賴單一檔案的雜湊值。因為攻擊者可以輕易地透過隨機填充（Padding）或動態組裝來改變 Hash。
第二，分析完整的請求鏈條。安全團隊應關注從廣告導向、landing page 的行為、對 /config 的請求，以及隨後對非預期域名的 Runtime 下載行為。
第三，教育使用者。最根本的防禦依然是社會工程學的防禦：絕不要透過廣告連結下載交易軟體或錢包工具，務必從官方網站下載。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。