SourTrade는 정상 Bun 런타임 위에서 브라우저가 멀웨어를 직접 조립하도록 만드는 신종 악성 광고 캠페인이다.
- 공격 표면: 가짜 Solana, Luno, TradingView 페이지를 위장한 악성 광고가 Bun 런타임을 은밀히 호출한다.
- 핵심 기법: 멀웨어를 단일 실행 파일이 아닌 여러 조각으로 내려받아 브라우저 안에서 .exe 형태로 빌드한다.
- 보안 함의: 시그니처 기반 탐지와 고정 URL 차단만으로는 대응이 어려워 행위 기반 탐지와 광고 플랫폼 사전 검증이 요구된다.
2026년 7월 25일, 보안 미디어 The Hacker News와 Bleeping Computer는 정상적인 금융·트레이딩 플랫폼을 사칭한 악성 광고가 브라우저 내부에서 멀웨어를 조립해 배포하는 새로운 캠페인 SourTrade를 공개했다. 이 캠페인은 단일 고정 URL에서 악성 실행 파일을 내려주는 기존 방식에서 벗어나, 정상 오픈소스 런타임인 Bun을 악용해 사용자의 브라우저가 직접 Windows 실행 파일을 빌드하도록 유도한다. 본문에서는 SourTrade의 기술적 구조를 분해하고, 기존 탐지 체계의 한계와 실무에서 즉시 적용 가능한 대응 전략을 정리한다.
SourTrade 캠페인 개요: 정상 Bun 런타임 위에서 실행 파일을 만드는 악성 광고
보안 분석 기업 Confiant가 보고한 SourTrade 캠페인은 단순한 악성 광고 클릭 유도 그 이상이다. 공격자는 평소 정상적으로 노출되는 광고 네트워크를 통해 가짜 Solana, Luno, TradingView 페이지를 노출시키고, 사용자가 페이지에 진입하면 페이지 내부에 삽입된 악성 JavaScript가 Bun 런타임을 호출해 멀웨어를 분할 적재한 뒤 최종 실행 파일을 사용자의 브라우저 메모리에서 직접 생성한다. 결과적으로 사용자는 자신의 PC에서 별도의 파일을 내려받지 않았음에도 멀웨어 감염 상태가 만들어지며, 이는 전통적인 파일 다운로드 기반 탐지를 우회하는 대표적 사례다.
광고 네트워크 사전 검증과 브라우저 내 행위 탐지 강화 방향
SourTrade의 가장 큰 위협은 정상 Bun 런타임과 정상 광고 슬롯을 동시에 악용한다는 점이다. 광고 게재 시점에는 일반적인 광고 크리에이티브 검사를 통과하지만, 페이지가 로딩된 뒤에는 페이지 내부 스크립트의가 Bun을 호출해 악성 페이로드를 조립한다. 이러한 특성 때문에 광고 네트워크 단계의 사전 검증과 브라우저 내부에서의 행위 기반 탐지가 동시에 필요하다.
브라우저 내부 행동 기반 탐지와 광고 플랫폼 사전 검증의 필요성
신뢰할 수 있는 광고 플랫폼은 사전 크리에이티브 검증, 실시간 랜딩 페이지 스캔, 게시자 평판 분석을 결합해 1차 필터링을 수행해야 한다. 그러나 SourTrade 사례는 사후 행위까지 결합된 이중 검증이 없으면 차단이 사실상 어렵다는 점을 분명히 보여준다. 사용자 입장에서도 평소 사용하던 금융·트레이딩 사이트라 하더라도 광고를 통해 진입했다면 URL을 반드시 직접 확인하는 습관이 중요하다.
기술적 분해: 브라우저 안에서 멀웨어가 조립되는 과정
SourTrade의 감염 흐름은 다음 단계로 요약된다.
- 1단계 광고 노출: 정상 광고 네트워크 슬롯에 가짜 Solana, Luno, TradingView 페이지가 등록되어 사용자에게 노출된다.
- 2단계 스크립트 삽입: 페이지 내부에 정상 Bun 런타임을 호출하는 JavaScript 코드가 숨겨진 채 실행된다.
- 3단계 페이로드 분할 적재: 멀웨어가 단일 .exe가 아닌 여러 데이터 조각으로 나뉘어 브라우저로 내려온다.
- 4단계 브라우저 내부 조립: Bun 런타임이 데이터 조각들을 결합해 Windows 실행 파일을 사용자의 브라우저 메모리 내에서 빌드한다.
- 5단계 실행 유도: 완성된 실행 파일이 사용자 동의 또는 사회공학적 기법으로 PC에 저장·실행된다.
이러한 과정은 다운로드 파일 단위 시그니처로 검사하는 전통적 엔드포인트 보안 제품이 놓치기 쉬운 영역이며, Confiant의 보고서에서도 Fileless 형태로 분류될 만큼 메모리 내부 동작 기반의 대응이 요구된다.
기존 보안 탐지의 한계와 새롭게 드러난 위협
SourTrade가 드러낸 가장 큰 한계는 시그니처 기반 탐지와 고정 URL 차단 방식이 갖는 구조적 약점이다. 공격자는 정상 런타임을 도구로 사용하고 멀웨어를 페이지 내부에서 즉시 조립하기 때문에, 악성 URL 목록과 파일 해시만으로 차단 리스트를 운영하는 조직은 1차 방어선을 우회당하기 쉽다. 또한 광고 네트워크가 정상 트래픽과 악성 트래픽을 짧은 시간 안에 번갈아 노출시키는 점은 사후 분석을 어렵게 만든다.
따라서 전문가들은 행위 기반 탐지와 광고 플랫폼 단계의 사전 검증을 동시에 강화해야 한다고 강조한다. 브라우저 내부에서 Bun이 호출되고 실행 파일이 생성되는 행위를 탐지하려면 EDR의 메모리 모니터링, 브라우저 확장을 통한 스크립트 동작 감시, 광고 게재 시점의 랜딩 페이지 자동 검증 체계가 유기적으로 결합되어야 한다.
| 대응 영역 | 기존 한계 | SourTrade 이후 강화 방안화 방향 |
|---|---|---|
| 시그니처 기반 탐지 | 단일 파일 단위만 검사 | 행위·메모리 기반 탐지 병행 |
| 고정 URL 차단 | 랜딩 페이지 변경에 취약 | 광고 게재 시 자동 검증 |
| 사용자 인지 | 정상 사이트로 위장 | URL 직접 확인 습관 |
| 광고 플랫폼 | 크리에이티브만 검증 | 사후 행위까지 분석 |
마무리: 사용자, 기업, 광고 플랫폼이 취해야 할 즉시 조치
SourTrade 캠페인은 멀웨어 유포가 더 이상 단일 파일 다운로드에 머물지 않고, 정상 런타임을 도구로 활용해 브라우저 내부에서 즉시 조립되는 방향으로 진화했음을 보여준다. 사용자는 광고를 통한 금융·트레이딩 사이트 진입 시 주소창의 도메인을 직접 확인해야 하며, 기업은 EDR과 브라우저 보안 확장을 통해 Bun 런타임 호출과 실행 파일 생성 행위를 모니터링해야 한다. 광고 플랫폼은 랜딩 페이지 자동 스캔과 사후 크리에이티브 재검증 체계를 강화해 1차 유입 자체를 차단하는 노력이 요구된다. 한 가지만 강화해서는 부족하며, 광고 네트워크·브라우저 내부·엔드포인트의 3계층에서 동시에 점검이 이뤄져야 효과적인 대응이 가능할 것으로 분석된다.
핵심 정리 포인트
- SourTrade는 정상 Bun 런타임을 악용해 브라우저 안에서 멀웨어를 조립하는 신종 악성 광고다.
- 공격은 가짜 Solana, Luno, TradingView 페이지를 위장한 광고를 통해 유포되며 파일 단위 탐지를 우회한다.
- 대응은 광고 네트워크 사전 검증, 브라우저 내부 행위 탐지, 엔드포인트 메모리 모니터링의 3계층 병행이 핵심이다.
참고 출처: The Hacker News, Bleeping Computer