Situs Jahat Pakai JavaScript untuk Rakit Malware di Memori Browser

Kampanye malvertising besar bernama SourTrade menggunakan halaman palsu bertema Solana, Luno, dan TradingView untuk membuat malware langsung di memori browser korban. Teknik ini berbeda dari distribusi malware tradisional karena file berbahaya lengkap tidak dikirim utuh melalui jaringan.

Menurut analisis Confiant, operasi ini aktif sejak akhir 2024 dan menargetkan trader ritel serta investor kripto di 12 negara dengan dukungan 25 bahasa. Target utamanya berada di kawasan Asia Pasifik dan Amerika Latin, dengan halaman iklan yang disesuaikan berdasarkan lokasi serta bahasa calon korban.

SourTrade juga memakai sistem filtering dan cloaking untuk memilah pengunjung. Korban yang dianggap valid akan diarahkan ke halaman unduhan palsu, sementara peneliti keamanan, scanner, bot, atau pengunjung yang tidak sesuai profil target dapat dialihkan ke halaman kosong agar kampanye lebih sulit dianalisis.

Meniru Situs Trading dan Kripto Populer

Halaman palsu yang digunakan dalam kampanye ini meniru brand yang dikenal di ekosistem trading dan kripto. Dengan memalsukan TradingView, Solana, dan Luno, pelaku dapat menjangkau pengguna yang sedang mencari platform analisis pasar, aplikasi kripto, atau layanan terkait investasi digital.

Meski halaman tersebut menampilkan tombol download seperti situs biasa, proses di belakangnya jauh lebih kompleks. JavaScript berbasis React pada landing page menyiapkan alur unduhan terkelola, lalu mendaftarkan ServiceWorker dan membuat SharedWorker untuk merakit payload secara lokal di browser.

Browser Dijadikan Pipeline Perakitan Malware

Pada tahap awal, halaman mendaftarkan ServiceWorker yang berfungsi sebagai pengelola download. ServiceWorker ini dapat mengintersepsi permintaan same-origin dan mengirimkan stream file sebagai attachment. Setelah itu, SharedWorker dipakai sebagai mesin yang mengambil komponen dan instruksi dari server.

Alih-alih mengunduh malware utuh, halaman meminta endpoint /config untuk menerima template, URL runtime, seed, serta ukuran data yang dirandomisasi per sesi. Respons tersebut bukan file download normal, melainkan resep perakitan yang memberi tahu browser bagaimana membuat executable akhir.

Browser kemudian mengambil runtime Bun yang bersih dari infrastruktur terpisah, menggabungkannya dengan blob yang dikirim penyerang, dan menambahkan byte yang dibuat secara lokal menggunakan stream AES-CTR. Hasil akhirnya adalah executable berbahaya yang dirakit di sisi korban.

Hash Berbeda untuk Setiap Korban

Rotasi parameter seperti seed dan ukuran data membuat file akhir memiliki hash unik pada setiap sesi. Hal ini menyulitkan deteksi berbasis hash statis, karena sistem keamanan tidak melihat satu file malware yang sama berulang kali dikirim melalui jaringan.

Keunggulan teknik ini bagi pelaku adalah berkurangnya jejak malware utuh di traffic jaringan. Komponen yang terlihat dapat tampak bersih atau tidak lengkap ketika dianalisis secara terpisah, sementara file berbahaya lengkap baru terbentuk setelah browser korban menjalankan seluruh rantai perakitan.

Setelah executable selesai dirakit, halaman menyerahkannya kembali ke ServiceWorker dan memicu alur download same-origin. Dari perspektif browser, pengguna seolah-olah mengunduh file dari domain landing page yang sama, meskipun sebagian komponen berasal dari infrastruktur lain.

Evolusi dari StreamSaver ke ServiceWorker

Confiant mencatat bahwa varian SourTrade sebelumnya menggunakan proyek StreamSaver untuk mengirim payload. Namun, sejak April 2026, operasi ini beralih ke metode pengiriman same-origin berbasis ServiceWorker, yang membuat jejak download terlihat lebih natural dari sisi browser.

Peneliti tidak mengungkap payload final secara spesifik dalam laporan terbaru. Namun, temuan tersebut mendukung riset sebelumnya mengenai kampanye malvertising yang menggunakan halaman TradingView palsu untuk menyebarkan malware dengan kemampuan mencuri cookie, password, data wallet kripto, merekam keystroke, mengambil screenshot, bertindak sebagai proxy, dan membangun persistensi jangka panjang.

Risiko bagi Trader dan Investor Kripto

Karena target utamanya adalah trader dan investor kripto, dampak pencurian kredensial bisa langsung berujung pada kerugian finansial. Akses ke cookie sesi, password, atau data wallet dapat dimanfaatkan untuk mengambil alih akun exchange, mencuri aset digital, atau memantau aktivitas transaksi korban.

Pengguna disarankan menghindari download aplikasi keuangan atau kripto dari iklan media sosial, hasil pencarian bersponsor, maupun promosi yang menjanjikan akses premium gratis. Installer sebaiknya hanya diunduh dari situs resmi vendor, lalu diverifikasi melalui digital signature dan publisher sebelum dijalankan.

Bagi tim keamanan, kampanye ini menjadi pengingat bahwa analisis file saja tidak cukup. Rantai serangan modern dapat memecah payload menjadi instruksi, runtime bersih, dan komponen dinamis yang baru menjadi malware penuh setelah dieksekusi di browser korban.

Sumber: Confiant