Investigadores da plataforma de segurança publicitária Confiant descreveram uma operação de malvertising que dá uma volta engenhosa às defesas tradicionais: em vez de entregar um ficheiro malicioso já pronto a partir de um endereço fixo, a campanha instrui o próprio navegador da vítima a construir o executável do Windows peça a peça, na memória do dispositivo. Batizada de SourTrade, a operação faz-se passar por marcas conhecidas do mundo das criptomoedas e do investimento para atingir traders de retalho e investidores em ativos digitais.
Resposta rápida: A campanha SourTrade usa anúncios falsos que imitam TradingView, Solana e Luno e leva o browser da vítima a montar um executável único por sessão, dificultando a deteção por assinaturas de ficheiro. Não explora qualquer falha do navegador — depende de o utilizador descarregar e executar software fora dos canais oficiais. A defesa é simples: instale ferramentas de trading e carteiras cripto apenas a partir do site oficial do fabricante, nunca a partir de um anúncio ou resultado patrocinado.
O que é o SourTrade e a quem se dirige
Segundo a Confiant, o SourTrade é uma operação de malvertising que corre anúncios desde o final de 2024, fazendo-se passar por TradingView, Solana e Luno para alcançar traders de retalho e investidores em criptomoedas em 12 países e 25 idiomas. O objetivo é atrair pessoas que procuram ferramentas de trading ou serviços cripto e conduzi-las a cópias convincentes das plataformas que julgam legítimas.
Um traço central da operação é a filtragem de visitantes. De acordo com a análise, um sistema de filtragem garante que só os alvos reais — traders de retalho e investidores cripto — chegam às páginas maliciosas, enquanto investigadores, scanners e bots de segurança são reencaminhados para páginas em branco. Na prática, os investigadores de segurança veem uma página vazia, ao passo que as vítimas legítimas veem uma réplica convincente de uma plataforma em que confiam. Segundo o BleepingComputer, com base no relatório da Confiant, a operação está localizada em 25 idiomas para 12 países, sobretudo na Ásia-Pacífico e na América Latina.
A técnica: o browser transformado em linha de montagem
O que torna o SourTrade tecnicamente distinto é o que acontece na página de destino. A Confiant explica que a operação não distribui malware acabado; em vez disso, entrega instruções de montagem ao navegador da vítima, obtém um ficheiro legítimo a partir de infraestrutura separada e leva o browser a construir o malware final em memória, na própria máquina do alvo. O resultado, sublinha a empresa, é que nenhum malware acabado chega a existir na rede.
O componente legítimo abusado é o Bun, um runtime de JavaScript. O navegador vai buscar um Bun limpo ao endereço fornecido (o campo standaloneUrl), combina-o com blobs entregues e com bytes gerados localmente por AES-CTR, e monta o executável final em memória. O detalhe criptográfico é o que garante a singularidade de cada amostra: os operadores fazem rodar o seed e o tamanho nas respostas do endpoint /config, de modo a que o fluxo de bytes se torne uma fonte de dados única para o ficheiro final, resultando em hashes de executável únicos — uma técnica usada para evitar a deteção estática por hash.
Descrições técnicas independentes detalham o encadeamento em várias fases. Na primeira fase, JavaScript em React na página regista um ServiceWorker (/sw.js) e mantém-no ativo para intercetar pedidos da mesma origem e entregar respostas de ficheiro em streaming; ao mesmo tempo, a página constrói um SharedWorker diretamente a partir de um blob de JavaScript embebido, pelo que o código do worker nunca precisa de ser obtido a partir de um URL visível. Na segunda fase, esse SharedWorker pede o endpoint /config da mesma origem e recebe, em vez de um ficheiro, instruções de montagem: um array de template, o standaloneUrl que aponta para um Bun limpo e um seed e tamanho AES-CTR por sessão.
O efeito combinado é claro para os defensores. A vantagem da técnica é que nenhum ficheiro acabado é transmitido pela rede, tornando a deteção menos provável e a análise mais difícil. Como resumiu a Confiant ao BleepingComputer, o design da campanha destaca-se pelo uso do navegador como “uma linha de montagem local” para o malware.
Cronologia e evolução da campanha
| Data | Desenvolvimento |
|---|---|
| Final de 2024 | Início da atividade da operação SourTrade, com anúncios a imitar TradingView, Solana e Luno |
| Setembro de 2025 | A Bitdefender documenta um cluster de malvertising associado ao TradingView |
| Até 30 de abril de 2026 | Fase em que as páginas carregavam a biblioteca StreamSaver.js a partir do GitHub Pages do autor |
| Abril de 2026 | Mudança de método: abandono do StreamSaver a partir do GitHub em favor de uma técnica de ServiceWorker na mesma origem |
| 23 de julho de 2026 | A Confiant publica o relatório detalhando o encadeamento de montagem no browser |
Segundo o The Hacker News, a partir da análise da Confiant, o método evoluiu de atividade acompanhada até 30 de abril de 2026, altura em que as páginas carregavam o StreamSaver.js — uma biblioteca open-source de download em streaming — a partir do endereço GitHub Pages do seu autor. Isso deixava o registo do caminho de download a apontar para o URL do GitHub da biblioteca; as páginas atuais mantêm a arquitetura de streaming, incluindo os nomes de mensagem streamsaver:, mas já não a vão buscar ao GitHub.
O que fica por confirmar
É importante separar o que está demonstrado do que ainda não está. O encadeamento documentado não depende de uma vulnerabilidade do navegador nem remove a Mark of the Web (MotW). A análise da Confiant documenta a entrega, não a execução do ficheiro dentro do browser, e não estabelece se o download final arranca automaticamente.
Quanto ao payload final, mantém-se uma incerteza relevante. A Bitdefender documentou o cluster de malvertising do TradingView em setembro de 2025, identificando o payload final como o stealer que a Check Point regista como JSCEAL e a WithSecure como WeevilProxy. A Bitdefender deteta o loader inicial como Variant.DenoSnoop.Marte.1, e descreve o JSCEAL/WeevilProxy como um stealer sofisticado com capacidades de espionagem e de acesso remoto. Ainda assim, o The Hacker News nota que a Confiant identifica características partilhadas de campanha e de executável, mas não demonstra que as três amostras publicadas transportam esse payload — pelo que capacidades como roubo de credenciais, keylogging e roubo de carteiras não podem, para já, ser atribuídas com certeza aos ficheiros atuais.
Como se proteger
- Descarregue software de trading e carteiras cripto exclusivamente a partir do site oficial do fabricante, nunca a partir de anúncios ou resultados patrocinados de motores de busca.
- Desconfie de ofertas de versões “Premium” ou “grátis” de plataformas conhecidas divulgadas por anúncios em redes sociais e vídeos não listados.
- Verifique o domínio real na barra de endereços; réplicas convincentes usam frequentemente domínios que rodam com frequência.
- Nas organizações, privilegie controlos focados na execução (allowlisting de aplicações) em vez de depender apenas de deteção por assinatura de ficheiro, uma vez que cada executável é único por sessão.
- Considere bloqueadores de anúncios em ambientes de risco e mantenha a MotW e os avisos do sistema operativo ativos.
Porque é que isto importa em Portugal
Embora o foco geográfico descrito seja a Ásia-Pacífico e a América Latina, a técnica é transponível para qualquer mercado e a localização em 25 idiomas mostra a escala do modelo. Para cidadãos e PME em Portugal, a lição é a mesma: os anúncios e resultados patrocinados não são um canal de download seguro, e as ferramentas financeiras devem ser obtidas apenas nas origens oficiais. Estes incidentes são exatamente o tipo de ameaça que o CNCS e o CERT.PT acompanham e para os quais emitem alertas.
Do ponto de vista organizacional, o novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2 para a ordem jurídica portuguesa) reforça a exigência de medidas de gestão de risco e de notificação de incidentes para as entidades abrangidas. Técnicas concebidas para escapar à deteção por assinatura, como a montagem de malware no browser, tornam ainda mais relevantes as abordagens de defesa em profundidade e o controlo de execução de aplicações. Já para quem sofra o roubo de credenciais ou de dados pessoais decorrente de uma infeção, o RGPD estabelece deveres de notificação à CNPD e aos titulares em caso de violação de dados com risco significativo.
Perguntas frequentes
O que é a campanha de malvertising SourTrade?
É uma operação identificada pela Confiant que usa anúncios falsos imitando marcas conhecidas de criptomoedas e investimento, como TradingView, Solana e Luno, para atrair traders de retalho e levá-los a instalar software malicioso fora dos canais oficiais.
Como é que o browser “monta” o malware sem ficheiro malicioso fixo?
Em vez de descarregar um executável já pronto, a página maliciosa usa código no navegador para construir o ficheiro peça a peça na memória do dispositivo, a partir de instruções recebidas de um servidor. Cada sessão gera um ficheiro com um hash único, dificultando a deteção por assinatura estática.
Preciso de uma vulnerabilidade no navegador para ser infetado?
Não. A técnica não explora nenhuma falha do browser — depende inteiramente de o utilizador descarregar e executar voluntariamente um instalador fora do site oficial da ferramenta ou serviço que julga estar a usar.
Como me posso proteger deste tipo de ataque?
Instale sempre ferramentas de trading, carteiras de criptomoedas e outro software financeiro apenas a partir do site oficial do fornecedor, nunca através de anúncios ou links patrocinados, e mantenha uma solução de segurança atualizada no dispositivo.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Confiant, pela Bitdefender e reportados pelo BleepingComputer e The Hacker News.