# Il malware che si assembla nel browser: come funziona SourTrade URL: https://menteinformatica.it/sicurezza-privacy/sourtrade-malware-assemblato-browser-malvertising/ Autore: Giorgio Perillo Aggiornato: 2026-07-26 Categoria: Sicurezza e Privacy --- La campagna di **malvertising SourTrade** non scarica un eseguibile malevolo da un server remoto. Lo fa costruire direttamente dal browser della vittima, pezzo per pezzo, usando componenti web legittimi e un runtime open source. È una distinzione che conta, perché cambia radicalmente cosa può bloccarla. La ricostruzione tecnica è stata pubblicata il 23 luglio 2026 da **Confiant**, società specializzata in sicurezza pubblicitaria. Secondo la loro analisi, la campagna è attiva dalla fine del 2024 e ha preso di mira trader retail e investitori in criptovalute in **12 paesi** e 25 lingue, impersonando piattaforme come TradingView, Solana e Luno. ## Come il browser diventa il costruttore del malware La pagina di destinazione, una copia convincente del servizio impersonato, non aspetta che l’utente clicchi su nulla. Registra subito un **ServiceWorker** (/sw.js) e costruisce un SharedWorker da codice JavaScript già incorporato nella pagina stessa, così il sorgente del worker non appare mai come una richiesta di rete separata e rilevabile. Il SharedWorker interroga l’endpoint /config, che restituisce un template, l’URL di un runtime secondario e valori casuali legati alla sessione. Il browser recupera e decomprime da quel secondo dominio una copia pulita del **runtime Bun**, un eseguibile legittimo, firmato, basato sul motore JavaScriptCore di Apple. Fin qui nessun file malevolo è transitato. La parte pericolosa arriva dopo: blob in formato Base64 nella configurazione forniscono l’intestazione PE, la tabella delle sezioni e una sezione .bun contenente bytecode JavaScriptCore malevolo per app.js. Il browser assembla questi frammenti in un eseguibile Windows completo, che viene poi proposto al download tramite [StreamSaver.js](https://github.com/jimmywarting/StreamSaver.js), una libreria open source per il salvataggio di file di grandi dimensioni lato client. Il malware non arriva mai come file intero da un URL fisso: ogni componente è innocuo da solo, e il prodotto finale esiste solo nella memoria del browser. ## Fingerprinting selettivo: i ricercatori vedono una pagina vuota SourTrade non colpisce alla cieca. Le landing page analizzano il visitatore e mostrano una **pagina vuota** a chi sembra un ricercatore di sicurezza o un bot. Solo le vittime selezionate ricevono la copia del servizio impersonato. Confiant precisa che la catena documentata non sfrutta vulnerabilità del browser e non rimuove il Mark of the Web (MotW), il flag che Windows appone ai file scaricati da internet. Questo significa che il file assemblato, se eseguito, attiverebbe comunque l’avviso di sicurezza di Windows, un limite reale della tecnica, che però non la rende innocua: molti utenti ignorano quegli avvisi, specie se convinti di star installando un software legittimo. Confiant non ha stabilito con certezza se il download parta automaticamente o richieda un clic. Campagne simili che impersonano TradingView su Meta, Google e YouTube erano già state [documentate da Bitdefender](https://www.bitdefender.com/en-us/blog/labs/the-scam-that-wont-quit-malicious-tradingview-premium-ads-jump-from-meta-to-google-and-youtube) in precedenza. SourTrade rappresenta un’evoluzione tecnica di quello schema: stesso bersaglio (trader e crypto), meccanismo di consegna molto più sofisticato. Il punto critico, dal punto di vista difensivo, è che spezzare il payload in frammenti Base64 distribuiti via configurazione rende inutili i controlli basati sulla reputazione degli URL o sull’hash dei file: non esiste un file malevolo da bloccare prima che il browser lo assembli. Gli strumenti di analisi del traffico di rete che cercano pattern di download di eseguibili non vedono nulla di sospetto. **Cosa cambia:** installare software di trading o wallet crypto solo dal sito ufficiale del produttore, mai da un annuncio pubblicitario, anche se la pagina sembra identica all’originale. Nessun antivirus può bloccare un file che non esiste ancora. Fonte: [thehackernews.com](https://thehackernews.com/2026/07/malvertising-sends-malware-in-pieces.html).