Eine neue Betrugsmasche dreht den klassischen Malware-Download auf links: Statt eine fertige Schaddatei zu liefern, lassen die Angreifer den Browser die Schadsoftware direkt im Arbeitsspeicher zusammenbauen. Aufgedeckt hat das die Werbe-Sicherheitsfirma Confiant.
SO läuft der Angriff
Die Kampagne setzt auf gefälschte Webseiten bekannter Marken wie Solana, Luno und TradingView. Über Werbeanzeigen werden gezielt Privatanleger und Krypto-Interessierte auf die Seiten gelotst. Ein Filter sorgt dafür, dass nur echte Opfer landen — Sicherheitsforscher, Scanner und Bots werden stattdessen auf leere Seiten umgeleitet.
Der eigentliche Trick steckt in einem als „/config“ getarnten Aufruf: Statt eines normalen Downloads liefert der Server eine Bauanleitung samt Zutaten zurück. Der Browser lädt die Bausteine, kombiniert sie mit lokal erzeugten Bytes und schmiedet daraus die Schadsoftware — aufgesetzt auf eine saubere Kopie der legitimen Bun-Programmdatei.
Warum Virenscanner versagen
Der Clou: Weil die Angreifer bei jedem Opfer die Bauteile leicht abändern, bekommt jede erzeugte Schaddatei einen einzigartigen Fingerabdruck (Hash). Klassische Virenscanner, die nach bekannten Signaturen suchen, laufen damit ins Leere. Confiant beschreibt den Browser treffend als „lokale Fertigungsstraße“ für die Malware.
Die Operation läuft bereits seit Ende 2024, ist auf 25 Sprachen in 12 Ländern zugeschnitten und konzentriert sich vor allem auf den asiatisch-pazifischen und lateinamerikanischen Raum.
So schützt du dich
Die wichtigste Regel bleibt schlicht: Lade keine Software über Werbeanzeigen. Wer ein Programm braucht, geht direkt auf die offizielle Herstellerseite und tippt die Adresse selbst ein. Sei besonders misstrauisch, wenn eine vermeintliche Trading- oder Wallet-Seite dich zu einem Download drängt — und verlasse dich nicht allein auf den Virenscanner.