Una campaña de malvertising apunta a usuarios a través de plataformas financieras falsas como Solana, Luno y TradingView. Los códigos JavaScript en estos sitios utilizan service workers y shared workers para construir malware en fragmentos dentro de la memoria del navegador. Los valores hash de los archivos generados varían en cada sesión debido a parámetros aleatorios, lo que permite evadir sistemas de detección estática.
El código malicioso se crea a partir de una copia limpia de un ejecutable Bun, y todos los componentes se ensamblan dentro del navegador, no a través de la red. Como resultado, el usuario recibe un archivo que parece una descarga legítima desde el dominio original del sitio falso. Este enfoque dificulta la detección por parte de las soluciones de seguridad tradicionales, ya que el archivo completo nunca se transmite por la red.
Las versiones anteriores de la campaña utilizaban el proyecto StreamSaver en GitHub, pero desde abril se reemplazaron por service workers en el mismo dominio. Los usuarios objetivo son principalmente inversores en criptomonedas y comerciantes individuales. Los expertos en seguridad recomiendan no descargar aplicaciones desde anuncios en redes sociales ni resultados de búsqueda patrocinados, y descargar software únicamente desde sitios oficiales verificados con firma digital.