Una campaña de amenaza llamada SourTrade genera directamente software malicioso en los dispositivos de los usuarios mediante sus navegadores. Durante este proceso, se imitan plataformas financieras legítimas como TradingView, Solana y Luno para engañar a las víctimas. Los usuarios, al visitar una página a través de un anuncio, descargan Bun, un entorno de ejecución JavaScript legítimo, que luego se combina con fragmentos de código cifrados controlados por el atacante.
El código malicioso se genera utilizando un encabezado PE codificado en Base64 y bytecode de JavaScriptCore, según una configuración recibida desde la dirección /config. Estos datos se combinan con flujos de bytes aleatorios generados mediante el algoritmo AES-CTR, produciendo un archivo ejecutable diferente en cada sesión. Como resultado, el valor hash de cada archivo cambia, haciendo ineficaces los sistemas de detección basados en hash tradicionales.
El archivo malicioso se crea en el navegador utilizando un ServiceWorker y un SharedWorker, y se ofrece automáticamente al usuario sin necesidad de una solicitud de descarga explícita. La dirección que aparece como origen del archivo no es el servidor real del entorno de ejecución, sino la página de publicidad. Este método evita los controles de seguridad al preservar la etiqueta Mark of the Web (MotW). La única solución es instalar aplicaciones financieras únicamente desde sitios oficiales.