広告セキュリティ企業Confiantは2026年7月25日、暗号資産関連サービスのTradingView、Solana、Lunoなどを装った偽サイトを踏み台にした大規模なマルバタイジング(悪意ある広告)キャンペーンの手口を公開した。ブラウザのJavaScriptとService Worker機能を悪用し、マルウェアの実行ファイルをネットワーク経由でそのまま転送せず、ブラウザのメモリ上でその場から組み立てて生成する、検知回避に特化した新しい配布手法だという。

ブラウザを「組立工場」に変える手口

このキャンペーン(Confiantは「SourTrade」と呼ぶ)は2024年後半から活動し、12カ国・25言語にローカライズされ、主にアジア太平洋地域と中南米の個人投資家・暗号資産投資家を狙う。フィルタリング機構により、実在の投資家と判定されたアクセスだけが偽サイトに誘導され、研究者やスキャナー、Botは空白ページにリダイレクトされる。

偽サイトのダウンロードボタンを押すと、ReactJSライブラリが「管理されたダウンロードフロー」を準備する。裏側ではまずService Workerがダウンロードマネージャーとして登録され、続いてSharedWorkerがマルウェアの「組立エンジン」として動く。SharedWorkerは自分自身に/configをリクエストし、セッションごとにランダム化されたシード値とサイズのパラメータを受け取る。パラメータを毎回変えることで生成ファイルのハッシュ値がセッションごとに一意になり、ハッシュベースの静的検知をすり抜ける。

/configが返すのは完成ファイルではなく、ブラウザ側で組み立てるためのテンプレートと材料だ。リモートの部品とローカルで生成したバイト列を、JavaScriptランタイムBunのクリーンな実行ファイルに組み込んで最終ペイロードを作る。完成ファイルはService Workerに渡され、同一オリジンからのダウンロードとして扱われる。ブラウザから見れば「同じドメインからのダウンロード」なので、部品の一部が他所から来ていてもMark of the Web(インターネットゾーンのタグ)が付与される。強みは、完成マルウェアが一度もネットワーク上を流れない点で、通信監視やフォレンジック解析による検知が格段に難しくなる。

以前はGitHub上のオープンソースStreamSaverを使っていたが、2026年4月から同一オリジンのService Worker方式に切り替わった。ペイロードの詳細は明かされていないが、2025年にBitdefenderが報告した類似キャンペーンでは、通信の傍受(プロキシ化)、Cookieやパスワードの窃取、キーロギングとスクリーンショット取得、暗号資産ウォレットのデータ窃取、永続化の確立といった機能が確認されている。

実務への影響

この手口が突きつけるのは、「ハッシュ値さえ見ていれば安全」という前提が成り立たなくなったという事実だ。ファイルが毎回ユニークになる以上、シグネチャベースのアンチウイルスやネットワーク経由のファイルスキャンだけに頼るIT部門は素通りされる。挙動を見るEDR(Endpoint Detection and Response)や、未知の実行ファイルを既定でブロックする評判ベースの仕組みへの比重を上げる必要がある。

現場での対策はシンプルだ。社内の投資家・暗号資産利用者には「金融・暗号資産系アプリはSNS広告や検索連動広告からダウンロードしない」「公式サイトからのみ入手する」「実行前にデジタル署名と発行者名を確認する」を徹底させたい。広告ブロッカーの標準導入や、DNS/Webフィルタリングでの怪しい広告ネットワークの遮断も効果がある。

筆者の見解

この手口が本当に突いているのは、ブラウザの「同一オリジンなら信頼できる」という暗黙の前提だ。部品の一部が外部から来ていても、見た目上は自分のドメインからのダウンロードとして扱われてしまう。ネットワーク境界を信頼せず常に検証するというゼロトラストの発想は、実はエンドポイントの実行ファイルにもそのまま当てはまる。ダウンロード元がどこであれ、ハッシュや見た目のオリジンではなく実際の挙動で判断する仕組みに寄せていくべきだと考える。

その意味で、Windowsが近年強化しているSmart App ControlやSmartScreenのような評判ベースの防御は正しい方向だ。ハッシュを毎回変えられても未知・低評価の実行ファイルは既定でブロックするという発想は、今回のような手口にこそ効いてくる。地味な機能だが、こういう積み重ねを評価していきたい。

出典: この記事は Malicious sites use JavaScript to build malware in browser memory の内容をもとに、筆者の見解を加えて独自に執筆したものです。