ブラウザのマルウェア工場化作戦：境界型防御を突破するSourTradeの最新手法｜ブログ(ほぼこもセキュリティニュース)

SourTradeは、2024年頃から活発化している悪質広告・詐欺グループです。
この脅威アクターは、TradingView、Solana、Luno などを偽装し、暗号資産投資家やトレーダーを標的にしてインフォスティーラー型マルウェアをばらまく作戦を展開しています。
最近、このSourTradeの作戦内容が変化していることが確認されています。
類似の攻撃手法に、HTML Smuggling（HTMLスマグリング）、Malvertising（悪質広告）、ドライブバイダウンロードといったものがありますが、これらの手法と今回のものを比較してみましょう。

配信データの状態
- 従来の類似手法
  暗号化やBase64化された「単一の隠しファイル」をHTMLやJavaScript内に直接埋め込んで通信させる。
- SourTrade
  ネットワーク上の異なるインフラから「単体では完全にクリーンな複数パーツ」と「組み立て指示書（JavaScript）」を別々に取得させる（モジュール分散配信）。
ブラウザ上での処理（ビルド手法）
- 従来の類似手法
  ブラウザ上で1つのデータを単にデコード（復号・解凍）してファイル化するだけ。
- SourTrade
  Bun などの正規JavaScriptランタイムを活用し、ブラウザのメモリ領域上でパーツをリアルタイムに動的ビルド（新規組み立て・コンパイル）する。
ネットワーク検知（UTM / プロキシ / IDS）の回避
- 従来の類似手法
  難読化していても「1つの怪しいデータ」が通信上を流れるため、シグネチャや通信パターンで検知されるリスクがある。
- SourTrade
  ネットワーク上には完成されたマルウェア（悪意ある単一バイナリ）が一度も流れないため、ネットワーク監視を完全にすり抜ける（「正常なWeb素材を読み込んでいるだけ」に見える）。
ファイルハッシュ（個体識別）の可変性
- 従来の類似手法
  同じデータを使い回すことが多く、ハッシュ値がブラックリストに登録されるとブロックされる。
- SourTrade
  被害者やセッションごとにブラウザ側で動的に組み立てるため、完成するEXEファイルのハッシュ値が毎回変化し、ハッシュ照合によるブロックが無効化される。
初期アプローチとターゲット層
- 従来の類似手法
  フィッシングメールの添付HTMLファイルや、一般的なフリーソフトの偽サイトで広くばら撒く。
- SourTrade
  悪質広告（Malvertising）から TradingView・Solana・Luno などの暗号資産/トレード関連サイトへ誘導し、投資家・トレーダーに特化して標的化する。

従来の「HTML Smuggling」が「1つの隠しファイルをブラウザ内で復号してダウンロードさせる」仕組みだったのに対し、SourTradeは「ブラウザを工場（コンパイラ）として悪用し、安全に見える部品から端末上でマルウェアを新造する」という、極めて洗練されたアプローチをとっています。

この手法の本質的な恐怖は、ゲートウェイ（FW/UTM/プロキシ）による従来の境界型防御モデルを根本から無力化する点にあります。
通過する通信データはどれも完全にクリーンに見え、かつ毎回ハッシュ値の異なるEXEが生成されるため、ネットワーク監視やハッシュ照合による静的検知では防御が原理的に不可能となります。
したがって、この脅威に対抗するには防御の視点を大きく転換する必要があります。

ネットワークからエンドポイント（端末）監視への移行
通信の遮断だけに頼るのではなく、端末（EDR/NGAV）側で「ブラウザプロセス（chrome.exe等）が不審な子プロセスを生成していないか」「メモリ内で実行ファイルの動的作成が行われていないか」といった挙動ベース（Behavioral）の監視を強化する。
初期侵入ルートの根本遮断
そもそも危険なスクリプトがブラウザ上で実行される前に止めるため、Ad Blocker（広告ブロック）の導入や、広告配信プラットフォームを介した不正サイトへの不用意なアクセスを防ぐセキュリティ啓発を徹底する。

SourTradeのような「イン・ブラウザ・ビルド型」の攻撃は、今後の悪質広告やファイルレス攻撃の新たなトレンドとなる可能性が高く、セキュリティ対策の更なる進化が求められています。

SourTrade: Browser-Assembled Malware Delivered Through Malvertising
https://blog.confiant.com/p/sourtrade-browser-assembled-malware