正規ランタイム「Bun」を悪用、ブラウザ上でマルウェアを組み立ててダウンロードさせる「SourTrade」攻撃が判明

要点

• 正規のJavaScriptランタイム「Bun」を悪用し、被害者のブラウザ内部でWindows用実行ファイル（.exe）を組み立てる新たなマルバタイジングの手法が確認された。
• 攻撃は「SourTrade」と呼ばれ、2024年後半から個人トレーダーや暗号資産投資家を標的とし、本物そっくりのなりすましサイトを通じて展開されている。
• 被害者ごとに異なる乱数データをバイナリに混ぜてファイルのハッシュ値を変化させ、完成したマルウェアを流さずにネットワーク検知を回避する。
• ServiceWorkerなどのWeb標準技術のみを用い、ブラウザの脆弱性悪用やセキュリティ識別子の削除を行わずにファイルを生成・配信する。

リード文

セキュリティ企業のConfiantは2026年7月23日、正規のJavaScriptランタイム「Bun」を悪用し、被害者のウェブブラウザ上で最終的なWindows用実行ファイルを直接組み立てさせるマルバタイジング（悪意ある広告を悪用した攻撃手法）活動「SourTrade」の詳細を公開した。このキャンペーンは、遅くとも2024年後半から個人投資家らを標的に展開されている。

本文

個人投資家を狙う巧妙ななりすまし

SourTradeは、金融取引プラットフォームのTradingViewや、暗号資産プロジェクトのSolana、Lunoといった著名なサービスになりすまし、広告を通じて被害者を偽のランディングページ（攻撃用の誘導先サイト）へ引き込む。標的は12カ国におよび、25の言語で偽サイトが用意されている。

偽サイトには訪問者の環境を識別する「フィンガープリント技術（訪問者の環境を識別する技術）」が導入されており、調査用ボットや研究者には空のページを表示し、ターゲットの被害者に対してのみ精巧なコピーサイトを表示して警戒を回避する。

ブラウザ内部での「マルウェア組み立て」プロセス

Confiantの分析によると、このファイル配信にブラウザの脆弱性は使用されない。ユーザーがダウンロードをクリックするのを待たずに、以下のプロセスがブラウザ内で開始される。

まず偽サイトは、バックグラウンド処理を担う「ServiceWorker（バックグラウンド処理を担うプログラム）」を登録し、さらに「SharedWorker（複数タブで共有可能なスクリプト）」を構築する。このSharedWorkerからサーバーの構成情報（/config）を要求し、そこから組み立て用テンプレートや二次ドメインのURL、接続セッションごとの乱数値を取得する。

ブラウザは指定された二次ドメインから、クリーンな正規の「Bun（JavaScriptの高速実行環境）」を取得して解凍する。Bunは、アプリケーションをWindows用のスタンドアロン実行ファイル（.exe）にコンパイルする正規の機能を備えている。

構成情報の「Base64（データを英数字で表現するデータ変換方式）」形式の文字列から、実行ファイルのヘッダー情報と、悪意ある「バイトコード（中間的なプログラムコード）」が抽出される。

その後、SharedWorkerは暗号アルゴリズム「AES-CTR」で疑似乱数データを生成し、テンプレートに従ってBunランタイム、乱数、バイトコードをバイトコピーで結合して実行ファイルを完成させる。

検知回避とダウンロードの仕組み

この手法の特徴は、接続ごとに乱数値やサイズを変更することにある。これにより生成される実行ファイルの「ハッシュ値（ファイルの一意な識別値）」は被害者ごとに変わり、ネットワーク監視をすり抜ける。ネットワーク上には完成したマルウェア의バイナリそのものは流れない。

完成した実行ファイルは、ServiceWorkerを介して動作する同一オリジンの「iframe（ページ内に別ページを埋め込む要素）」へ「ReadableStream（データを順次読み込む仕組み）」として転送され、ダウンロードされる。

この際、インターネットからの入手を示すセキュリティ識別子「Mark of the Web（MotW）」には、Bunを供給したドメインではなく偽サイトのドメインがダウンロード元として登録される。

手法の進化と過去のキャンペーンとの関連

Confiantによれば、この手法は2026年4月末まで観測されていた旧手法から進化したものである。以前はファイル保存用のオープンソースライブラリ「StreamSaver.js」をGitHub Pagesから直接ロードしていたためダウンロード元がGitHubになっていたが、現在は外部からのライブラリ取得を行わないよう改良されている。

また、2025年9月にはセキュリティ企業のBitdefenderが、TradingViewなりすましの同様の活動を報告している。当時は情報窃取型マルウェア「JSCEAL」（別名：WeevilProxy）が最終ペイロードとして使われていた。

今回のSourTradeで組み立てられる実行ファイルと過去のキャンペーンの関連性も指摘されているが、分析されたサンプルの中にJSCEALが実際に含まれているかは実証されていない。過去の報告にはBunに関する記述はなく、別のローダー名「Variant.DenoSnoop.Marte.1」が挙げられていたため、過去の情報窃取などの機能がそのまま適用されるかどうかは現時点で断定されていない。