Der Ablauf beginnt bereits, bevor ein Nutzer einen Download auslöst. Die Landingpage registriert zunächst einen auf die Seite begrenzten ServiceWorker unter „/sw.js“. Danach erzeugt sie einen SharedWorker aus JavaScript, das bereits in die Seite eingebettet ist. Der Quelltext des Workers taucht damit nicht als separater Abruf im Netzwerkverkehr auf.

Dieser SharedWorker fordert „/config“ an. Die Antwort enthält laut Confiant eine Vorlage, eine zweite Adresse für die Laufzeitumgebung und sitzungsspezifische Zufallswerte. Der Browser lädt anschließend von dieser zweiten Domain eine saubere Bun-Laufzeit herunter und dekomprimiert sie. In der veröffentlichten Beispielantwort nennt Confiant dafür die Domain „purelogicbox[.]org“.

Die eigentlichen, vom Angreifer kontrollierten Bestandteile kommen in Form von Base64-Blöcken über die Konfiguration. Darin stecken der Header der Portable-Executable-Datei, die Section-Tabelle und eine „.bun“-Sektion mit schädlichem JavaScriptCore-Bytecode für „app.js“. Bun basiert auf Apples JavaScriptCore-Engine und unterstützt auf legitime Weise das Kompilieren von Anwendungen und Bytecode in eigenständige Windows-Programme.

Anschließend erzeugt der Worker mit AES im Counter-Modus einen großen pseudorandomisierten Bytestrom. Danach folgt er einer vorgegebenen Vorlage zum Kopieren von Byte-Bereichen und setzt die endgültige Datei aus ausgewählten Abschnitten der Bun-Laufzeit, dem erzeugten Datenstrom und dem vom Angreifer gelieferten PE-Material zusammen. Laut Michael Steele aus dem Threat-Intelligence-Team von Confiant existiert so „niemals eine fertige Schadsoftware im Netzwerk“. Vollständig trifft das allerdings nur auf die fertige Binärdatei zu, denn die PE-Strukturen und der Bytecode werden über „/config“ als Base64 übertragen.

Weil sich Seed und Größe in jeder „/config“-Antwort ändern können, kann jedes Opfer eine andere zusammengesetzte Datei erhalten. Der Hashwert ändert sich dadurch, obwohl der ausführbare Schadcode erhalten bleibt. Confiant ordnet die praktische Auswirkung entsprechend enger ein, als es auf den ersten Blick erscheint: Einzigartige Builds pro Sitzung verringern vor allem den Nutzen einfacher hashbasierter Erkennung.

Ist die Datei fertig, übergibt die Seite sie als lesbaren Datenstrom an den ServiceWorker. Ein verstecktes Iframe ruft dann eine URL derselben Herkunft auf, woraufhin der Worker die erzeugten Bytes mit einem „Content-Disposition“-Header als Anhang zurückliefert. Die daraus resultierende Markierung „Mark of the Web“ verweist auf die Landingpage als Download-Quelle, nicht auf die separate Domain, von der die Bun-Laufzeit stammte. Die MotW-Markierung selbst bleibt erhalten.

Confiant zufolge entwickelte sich die Methode aus Aktivitäten weiter, die das Unternehmen bis zum 30. April 2026 verfolgte. Damals luden die Seiten noch StreamSaver.js, eine quelloffene Bibliothek für gestreamte Downloads, von der GitHub-Pages-Adresse ihres Autors. Dadurch zeigte der protokollierte Downloadpfad auf die GitHub-URL der Bibliothek. Die aktuelle Variante behält zwar die Streaming-Architektur einschließlich der Nachrichtennamen „streamsaver:“ bei, lädt die Bibliothek aber nicht mehr von GitHub.

Bitdefender dokumentierte den verwandten TradingView-Malvertising-Cluster bereits im September 2025 und identifizierte die finale Nutzlast als den Stealer, den Check Point als JSCEAL und WithSecure als WeevilProxy verfolgt. Confiant verweist auf gemeinsame Merkmale der Kampagne und der ausführbaren Dateien, zeigt jedoch nicht, dass die drei veröffentlichten Beispiele tatsächlich diese Nutzlast tragen. Der Bericht sagt außerdem, Bitdefender habe in diesem Cluster eine modifizierte Bun-Datei gefunden.

The Hacker News fand in dem von Confiant verlinkten Beitrag aus dem September 2025 allerdings keine Erwähnung von Bun; dort wird der Loader als „Variant.DenoSnoop.Marte.1“ bezeichnet. Fähigkeiten wie Diebstahl von Zugangsdaten, Keylogging, Abfangen von Datenverkehr, Wallet-Diebstahl und Fernzugriff aus der früheren Kampagne lassen sich den aktuellen Dateien daher laut The Hacker News bislang nicht zuordnen. Confiant veröffentlichte drei SHA-256-Hashes sowie eine Liste bösartiger Domains, die The Hacker News auf 96 Einträge beziffert. Einen Akteur benennt das Unternehmen nicht; die Analyse endet an dem Punkt, an dem die Datei auf der Festplatte landet.