Lanskap ancaman siber finansial menyaksikan evolusi taktik penghindaran yang belum pernah terjadi sebelumnya. Sebuah operasi malvertising (iklan berbahaya) berskala masif yang dijuluki "SourTrade" diketahui telah beroperasi sejak akhir 2024, menargetkan para pedagang ritel (retail traders) dan investor kripto di 12 negara dalam 25 bahasa. Kampanye ini secara aktif meniru layanan finansial legit seperti TradingView, Solana, dan Luno.

Terobosan paling berbahaya dari kampanye SourTrade adalah peninggalan metode distribusi malware tradisional. Alih-alih menyediakan satu fail eksekusi (executable) utuh dari peladen penyerang, kampanye ini memaksa peramban (web browser) korban untuk merakit dan mengkompilasi sendiri muatan Windows Executable (.exe) secara lokal menggunakan runtime Bun yang sah. Akibatnya, fail malware yang sudah jadi tidak pernah melintasi lalu lintas jaringan, menciptakan tantangan masif bagi sistem pemantauan perimeter konvensional.

Baca Juga: Rantai Kerentanan Inti WordPress "wp2shell" Picu Eksekusi Kode Jarak Jauh (RCE) Tanpa Otentikasi

Investigasi forensik Confiant membedah rantai distribusi SourTrade yang sangat ter orkestrasi, yang bekerja tanpa memanfaatkan kerentanan zero-day pada peramban dan tetap mempertahankan label Mark of the Web (MotW).

Rantai Eksekusi Taktis:

1. Kamuflase & Fingerprinting: Halaman landas melakukan pemindaian ketat. Jika pengunjung teridentifikasi sebagai bot pemindai atau peneliti keamanan, mereka dialihkan ke halaman kosong. Target yang valid akan dihadapkan pada tiruan layanan finansial yang sangat meyakinkan.
2. Orkestrasi Pekerja (Worker Orchestration): Tanpa menunggu korban mengklik tombol unduh, halaman landas langsung mendaftarkan ServiceWorker pada cakupan /sw.js dan membangun SharedWorker dari kode JavaScript yang tertanam di dalam halaman tersebut.
3. Pengambilan Komponen Terpisah: SharedWorker meminta titik akhir /config yang mengembalikan templat, nilai acak sesi, serta struktur Portable Executable (PE) dan bytecode JavaScriptCore (app.js) dalam format Base64. Secara bersamaan, peramban mengunduh runtime Bun yang sepenuhnya bersih dari domain sekunder (seperti purelogicbox[.]org).
4. Perakitan Dinamis & Polimorfisme: Menggunakan algoritma AES mode penghitung (AES-CTR), pekerja menghasilkan aliran bita (byte stream) pseudorandom berukuran besar sebagai bantalan (padding). Peramban kemudian menggabungkan runtime Bun bersih, aliran bita acak, dan bytecode berbahaya menjadi sebuah fail eksekusi Windows utuh.
5. Distribusi Aliran (Streamed Delivery): Fail yang telah dirakit diteruskan ke ServiceWorker melalui iframetersembunyi sebagai aliran yang dapat dibaca dengan header Content-Disposition. Label MotW tetap tersemat, mengidentifikasi halaman landas sebagai sumber unduhan, bukan domain sekunder pengirim runtime.

Kampanye SourTrade merupakan evolusi lanjutan dari aktivitas yang dipantau hingga April 2026, di mana penyerang sebelumnya mengandalkan pustaka open-source StreamSaver.js dari GitHub. Pada versi terbarunya, arsitektur pengaliran tersebut telah diintegrasikan langsung ke dalam kode khusus mereka, memutus ketergantungan pada infrastruktur pihak ketiga.

Klaster malvertising yang serupa sebelumnya dikaitkan dengan penyebaran muatan pencuri kredensial (stealer) seperti JSCEAL (Check Point) atau WeevilProxy (WithSecure).

Krisis Deteksi SOC: Metrik paling kritis bagi Tim Pusat Operasi Keamanan (SOC) adalah fakta bahwa "tidak ada malware jadi yang pernah berada di jaringan". Karena setiap sesi pembentukan menggunakan nilai seed dan ukuran bantalan (AES-CTR) yang terus dirotasi, setiap korban menerima fail .exe dengan hash SHA-256 yang sepenuhnya unik, meskipun kode muatan intinya sama. Hal ini membuat daftar Indicator of Compromise (IoC) statis berbasis hash menjadi tidak berguna.

Dalam konteks arsitektur korporat (B2B), kampanye SourTrade adalah demonstrasi nyata bagaimana aktor ancaman menyalahgunakan utilitas pengembang modern (seperti runtime Bun yang berjalan di atas mesin JavaScriptCore Apple) untuk menembus pertahanan perimeter institusi finansial, platform perdagangan, dan korporasi umum.

Analisis Taktis untuk Eksekutif (C-Level & CISO):

1. Kegagalan Antivirus/EDR Konvensional: Karena fail eksekusi di-generate secara lokal di dalam peramban dengan hash yang selalu berubah (polimorfik hiper-dinamis), solusi pemindaian statis tidak akan memicu alarm. Korporasi wajib menggeser postur EDR (Endpoint Detection and Response) ke deteksi perilaku (Behavioral Analytics), khususnya memantau pembentukan proses anak (child process creation) dari fail biner yang dieksekusi melalui aliran ServiceWorker peramban.
2. Pemantauan Rantai Telemetri Jaringan: SOC tidak boleh lagi mengandalkan deteksi artefak fail tunggal. Analis harus memonitor urutan anomali jaringan secara holistik: rujukan jaringan iklan (ad referral) →permintaan /config yang memuat payload Base64 berukuran besar → pengunduhan runtime dari domain sekunder yang tidak lazim.
3. Isolasi Ekosistem Finansial & DNS Filtering: Untuk memitigasi vektor malvertising, perangkat korporat yang digunakan untuk transaksi keuangan, perbendaharaan (treasury), atau manajemen aset kripto wajib diterapkan kebijakan pemblokiran iklan di tingkat DNS (DNS-level ad-blocking) dan pembatasan akses web yang ketat (Secure Web Gateway).

Ancaman malware polimorfik yang dirakit langsung di dalam peramban membuktikan bahwa solusi keamanan perimeter konvensional tidak lagi memadai. Uji dan pastikan ketahanan arsitektur jaringan serta efektivitas EDR korporasi Anda dalam mendeteksi anomali rantai serangan siber melalui simulasi Red Teaming dan asesmen keamanan komprehensif bersama kami.