Confiant beschreibt den Aufbau der Kampagne als technisch ungewöhnlich. Zwar zeigen die gefälschten Portale einen Download-Knopf, doch auf der Landingpage bereitet eine ReactJS-Bibliothek den Browser zunächst auf einen gesteuerten Download-Ablauf vor. Dieser Mechanismus wird üblicherweise für unterschiedliche Arten von Dateiübertragungen verwendet, hier aber zweckentfremdet.
Laut der Analyse registriert die Seite im ersten Schritt einen Service Worker. Dieser übernimmt die Rolle eines Download-Managers und hilft dabei, die Malware-Datei schrittweise aufzubauen. Parallel richtet die Seite einen Shared Worker ein, der als zentrale Engine fungiert und die Schadsoftware aus den in den folgenden Schritten gelieferten Komponenten zusammensetzt.
Im zweiten Stadium fordert die Landingpage nach Angaben der Forscher über ihren Shared Worker selbst eine Antwort auf „/config“ an. Diese enthält Seed- und Größenparameter, die für jede Sitzung zufällig festgelegt werden. Durch die Rotation dieser Werte stellen die Angreifer sicher, dass die entstehende Malware-Datei jeweils einen eigenen Hash erhält und statische Erkennung leichter umgeht.
Confiant erklärt, dass „/config“ keine gewöhnliche Download-Antwort ist, sondern eine Montage-Antwort. Sie liefere eine Vorlage und die Eingaben, die der Browser benötigt, um die Datei lokal zu erstellen. Aus den so abgerufenen entfernten Komponenten und lokal erzeugten Bytes entsteht anschließend die schädliche Nutzlast aus einer sauberen Version der Bun-Programmdatei.
Sobald die endgültige ausführbare Datei fertig ist, übergibt die gefälschte Download-Seite sie an den zu Beginn registrierten Service Worker und stößt einen Download-Pfad derselben Herkunft an. Aus Sicht des Browsers lädt der Nutzer damit eine ausführbare Datei von der Domain der Landingpage herunter, wie die Confiant-Forscher erläutern. Die Kennzeichnung aus dem Web wird dabei gesetzt, obwohl ein Teil der Komponenten aus einer anderen Quelle stammt.
Der Vorteil dieser Methode liegt Confiant zufolge darin, dass keine fertige Datei über das Netzwerk übertragen wird. Das senkt die Wahrscheinlichkeit einer Erkennung und erschwert zugleich die Analyse. Gerade diese Verlagerung des Zusammenbaus in den Browser hebt die Kampagne von gewöhnlichen Malware-Downloads ab.
Confiant ordnet die aktuelle Aktivität der SourTrade-Kampagne zu. Frühere Varianten nutzten demnach das GitHub-Projekt StreamSaver, um die schädliche Nutzlast auszuliefern. Seit April setzt die Operation jedoch auf die Zustellung über einen Service Worker mit derselben Herkunft. Zur konkreten Art der Nutzlast macht Confiant keine Angaben, verweist aber auf Funde, die einen Bitdefender-Bericht aus dem Jahr 2025 über eine widerstandsfähige Malvertising-Kampagne mit StreamSaver zur Malware-Verteilung stützen.
Die Kampagne richtet sich laut Confiant gezielt an Privatanleger und Krypto-Investoren. Die Forscher raten deshalb dazu, Finanz- oder Kryptowährungs-Apps nicht über Werbung in sozialen Netzwerken oder gesponserte Suchtreffer herunterzuladen. Ausführbare Dateien sollten stattdessen von der offiziellen Website des jeweiligen Unternehmens bezogen werden. Zusätzlich empfehlen sie, vor dem Start die digitale Signatur und den Herausgeber des Installationsprogramms zu prüfen.