Il malware JSCeal riutilizza i cookie rubati per aggirare l'accesso a Google

I ricercatori di sicurezza hanno pubblicato nuovi dettagli su JSCeal, un malware che ruba i cookie di sessione e altri dati salvati dal browser, quindi riutilizza queste sessioni per entrare nell'account Google della vittima senza password. In un rapporto tecnico pubblicato la scorsa settimana, Check Point Research ha descritto JSCeal come un malware sofisticato in JavaScript V8 compilato, il che significa che il suo codice è convertito in un formato di basso livello che viene eseguito nel motore V8 del browser ed è molto più difficile da leggere rispetto al normale JavaScript. Il malware ha tre capacità principali: raccogliere credenziali, osservare ciò che la vittima digita e vede, e intercettare il traffico web.

Check Point ha documentato JSCeal per la prima volta a luglio 2025. I ricercatori hanno affermato che gli aggressori hanno utilizzato siti falsi di trading di criptovalute a cui gli utenti arrivavano tramite annunci pubblicitari dannosi su Facebook e Google. Questi siti contraffatti dicevano ai visitatori di scaricare falsi installer per TradingView, uno strumento legittimo di grafici finanziari, e l'esecuzione di questi installer distribuiva il malware. L'attività si sovrappone a un cluster di minacce tracciato con i nomi WEEVILPROXY e MeadowLocust. Le campagne di malvertising consegnano due archivi ZIP tramite PowerShell, uno strumento da riga di comando e scripting integrato in Windows: uno contiene il runtime Node.js, l'altro contiene il payload principale e componenti helper aggiuntivi.

Più recentemente, la società di sicurezza pubblicitaria Confiant ha pubblicato i dettagli di una grande operazione di malvertising che chiama SourTrade. Malvertising è il termine per codice dannoso nascosto all'interno di annunci pubblicitari online. Secondo Confiant, SourTrade impersona marchi affidabili di trading e criptovalute come Solana, Luno e TradingView. Offre portali simili con JavaScript dannoso che dice al browser della vittima di assemblare il malware direttamente in memoria, senza scrivere un file dannoso completo su disco. Confiant valuta che la campagna sia attiva da fine 2024, prendendo di mira trader al dettaglio e investitori in criptovalute in 12 paesi e 25 lingue, principalmente in Asia Pacifico e America Latina. L'azienda afferma che l'attività si sovrappone a una campagna JSCeal descritta da Bitdefender a settembre 2025.

Confiant ha affermato che la pagina di destinazione di SourTrade è tecnicamente distinta perché non distribuisce malware finito. Invece, fornisce istruzioni di assemblaggio al browser della vittima, recupera un file legittimo pulito da un'infrastruttura separata e dirige il browser a costruire il malware finale in memoria sulla macchina della vittima. Di conseguenza, nessun malware finito esiste mai sulla rete.

Check Point ha affermato che i payload JSCeal sono protetti con uno strumento chiamato javascript-obfuscator. Gli operatori usano ripetutamente quattro gruppi di trasformazioni per nascondere il malware: sostituiscono nomi di funzioni e variabili con identificatori brevi o privi di significato; dividono stringhe importanti in blocchi codificati e protetti con il cifrario RC4, un metodo di crittografia più vecchio usato per offuscare il testo finché il malware non deve leggerlo, quindi ricostruiscono queste stringhe tramite funzioni decoder; appiattiscono il flusso del programma in un'unica istruzione switch controllata da un ciclo infinito e una variabile di stato; e passano chiamate di funzione attraverso helper proxy mentre avvolgono operazioni semplici come addizione, sottrazione, confronto e invocazione di funzioni in funzioni helper dedicate.

La società di cybersecurity israeliana ha affermato di aver costruito una pipeline di deoffuscazione completamente statica, un insieme di strumenti che inverte l'offuscamento senza eseguire il codice dannoso, per decodificare il bytecode JavaScript V8 compilato. Ciò ha rivelato il flusso di esecuzione e le funzionalità del malware. Tra le altre cose, JSCeal può enumerare i browser installati e interrogare segreti salvati, cookie, token OAuth, che sono pass digitali che danno a un'app accesso a un account senza password ripetuta, e altri dati. Le funzioni router all'interno del malware registrano gestori per le informazioni raccolte.

Il modulo di furto del browser di JSCeal prende di mira una lunga lista di browser basati su Chromium, tra cui Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi e Cốc Cốc. Per ogni browser, il malware cerca la posizione prevista della directory dei dati utente, elenca i profili disponibili ed estrae cookie e password da quei profili. I cookie di sessione sono i piccoli dati che un sito web inserisce in un browser per ricordare che un visitatore è già connesso. I ricercatori affermano che il malware è quindi in grado di utilizzare i dati dei cookie rubati per ricostruire una sessione del browser ed eseguire attacchi di replay di sessione attivi. In tale attacco, il cookie di sessione rubato consente all'aggressore di agire come l'utente già connesso e aggirare l'autenticazione, ottenendo accesso non autorizzato all'account Google della vittima. Un secondo modulo dà a JSCeal capacità di sorveglianza: registra le battute della tastiera e cattura screenshot.

Check Point ha anche scoperto che JSCeal segue un modello comune nei trojan bancari: installa un proxy locale, un programma che si trova tra il browser della vittima e Internet e può vedere o modificare il traffico web, genera e installa un certificato e modifica specifiche richieste e risposte web. Il codice recuperato mostra che questo proxy non è limitato all'intercettazione passiva. Gestori dedicati modificano richieste e risposte selezionate per servizi specifici. Una funzione di configurazione fornisce override separati per Binance, Bybit e Ledger, oltre a gestori generici per sostituire HTML, bloccare host e cancellare cookie selezionati. Diversi altri gestori si concentrano su piattaforme di criptovaluta, e uno di essi cattura dati dell'account e registra i saldi delle criptovalute.

La ricercatrice di sicurezza Aleksandra Doniec, nota come Hasherezade, ha affermato che il codice recuperato mostra due tipi di attrito per l'analisi: un formato V8 compilato specifico per versione e diversi livelli di offuscamento JavaScript applicati prima della compilazione. Doniec ha affermato che nessuno dei due rende il malware impossibile da invertire, ma insieme lo spingono fuori dai flussi di lavoro che gli analisti normalmente usano. Ha anche affermato che gli sviluppi mostrano che gli autori di JSCeal stanno investendo sia nel rendere il payload più difficile da analizzare sia nell'ampliare la copertura della piattaforma, e che con campagne continuate fino a mesi recenti, JSCeal rimane in sviluppo attivo.

Per i proprietari di siti web e i team IT, questa ricerca è un promemoria pratico che i cookie di sessione del browser sono un obiettivo prezioso per gli aggressori, non solo le password. Poiché i cookie rubati possono aggirare completamente le pagine di accesso, la forza della password da sola non protegge un account già connesso. AEU-I, il servizio IT, infrastruttura e consulenza security-first di AEU Group, aiuta le organizzazioni a rivedere i tipi di controlli endpoint e di accesso che riducono questo rischio.