Pesquisadores de cibersegurança destrincharam o JSCeal, um malware sofisticado compilado em V8 JavaScript (JSC) com capacidade de roubo de credenciais, vigilância e interceptação de tráfego.
“Os payloads são protegidos com javascript-obfuscator, usando várias técnicas, incluindo strings protegidas com RC4, achatamento do fluxo de controle, funções proxy e wrappers de operações”, afirmou a Check Point Research em um relatório técnico publicado na semana passada.
O JSCeal foi documentado pela primeira vez pela Check Point em julho de 2025, quando a empresa destacou o uso, por threat actors, de sites falsos de negociação de criptomoedas. Usuários desavisados eram redirecionados para essas páginas por meio de anúncios maliciosos no Facebook e no Google. Os sites fraudulentos orientavam o download de instaladores falsos do TradingView, que levavam à implantação do malware. A atividade se sobrepõe a um cluster de ameaças conhecido pelos nomes WEEVILPROXY e MeadowLocust.
As campanhas de malvertising que distribuem o malware usam dois arquivos ZIP entregues via PowerShell. Um contém o ambiente de execução do Node.js, enquanto o outro reúne o payload principal e outros componentes auxiliares.
No mês passado, a plataforma de segurança de anúncios Confiant divulgou detalhes de uma operação massiva de malvertising codinome SourTrade. O esquema foi observado se passando por marcas confiáveis de negociação e criptomoedas, como Solana, Luno e TradingView, para exibir portais semelhantes aos originais com JavaScript malicioso que instrui os navegadores a montar o malware diretamente na memória.
A campanha é considerada ativa desde o fim de 2024 e mira traders de varejo e investidores em criptomoedas em 12 países e 25 idiomas, principalmente na Ásia-Pacífico e na América Latina. Evidências indicam que a operação se sobrepõe a uma campanha de JSCeal descrita pela Bitdefender em setembro de 2025.
“O que torna a SourTrade tecnicamente distinta é o que acontece na página de entrada”, disse a Confiant. “Ela não distribui malware pronto. Em vez disso, entrega instruções de montagem ao navegador da vítima, obtém um arquivo legítimo e limpo de uma infraestrutura separada e orienta o navegador a construir o malware final na memória, na máquina da vítima. Nenhum malware pronto chega a existir na rede.”
O JSCeal é protegido com javascript-obfuscator, e os operadores recorrem repetidamente a quatro grupos de transformações para ocultar o malware. Entre elas estão:
- substituição de nomes de funções e variáveis por identificadores curtos ou sem sentido
- divisão de strings importantes em partes, que depois são codificadas e protegidas com RC4, antes de serem reconstruídas por funções decodificadoras
- uso de achatamento do fluxo de controle para transformar a execução do programa em uma instrução switch plana, de nível único, controlada por um loop infinito e uma variável de estado, com o objetivo de dificultar a análise e a engenharia reversa
- encaminhamento de chamadas de funções por meio de auxiliares proxy e encapsulamento de operações simples, como soma, subtração, comparação ou invocação de funções, em funções auxiliares dedicadas
A empresa israelense de cibersegurança afirmou ter desenvolvido um “pipeline de deobfuscação totalmente estático” para decodificar bytecode compilado de V8 JavaScript protegido com a ferramenta, o que permitiu entender o fluxo de execução do malware e seus recursos. Entre eles estão a capacidade de enumerar navegadores instalados e consultar segredos salvos, cookies, tokens OAuth e outros dados, além de funções de “router” que registram manipuladores para as informações coletadas.
O módulo de roubo de dados do navegador mira uma longa lista de navegadores baseados em Chromium, como Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi e Cốc Cốc. Para cada navegador, o malware navega até o local esperado do diretório de dados do usuário e lista os perfis disponíveis, de onde cookies e senhas são extraídos.
Além disso, o JSCeal consegue usar os dados de cookies roubados para reconstruir uma sessão do navegador e conduzir ataques ativos de repetição de sessão, contornando a autenticação e obtendo acesso não autorizado à conta Google da vítima. Um segundo módulo embutido no malware oferece capacidades de vigilância ao registrar teclas digitadas e capturar screenshots.
“Uma técnica comum usada por trojans bancários é instalar um proxy local e injetar ou modificar conteúdo web em serviços selecionados”, afirmou a Check Point. “O JSCeal segue um padrão semelhante: o código recuperado mostra configuração de proxy, geração e instalação de certificados e modificação de requisições e respostas específicas de serviços.”
“O proxy não se limita à interceptação passiva. O código recuperado contém manipuladores dedicados que modificam requisições e respostas selecionadas para serviços específicos. Uma função de configuração expõe substituições separadas para Binance, Bybit e Ledger, além de manipuladores genéricos para substituir HTML, bloquear hosts e limpar cookies selecionados.”
Também existem vários manipuladores focados especificamente em plataformas de criptomoedas, e um deles captura dados da conta e registra saldos de criptomoedas.
“O JSCeal combina duas formas de dificultar a análise: um formato compilado de V8 específico de cada versão e várias camadas de obfuscação em JavaScript aplicadas antes da compilação. Nenhuma delas torna o malware impossível de reverter, mas, juntas, elas o tiram dos fluxos de trabalho dos quais os analistas normalmente dependem”, disse a pesquisadora de segurança Aleksandra “Hasherezade” Doniec.
“No conjunto, esses desenvolvimentos mostram que os autores do JSCeal estão investindo tanto em tornar o payload mais difícil de analisar quanto em ampliar a cobertura de plataformas. Com campanhas em andamento até meses recentes, as mudanças indicam que o JSCeal segue em desenvolvimento ativo.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...