Mon, 07 Sep 2026
← VoltarJSCeal é um sofisticado malware JavaScript V8 compilado que coleta credenciais, monitora usuários e intercepta tráfego.
Pesquisadores de segurança cibernética descompactaram o JSCeal, um sofisticado malware V8 JavaScript (JSC) compilado com recursos de coleta de credenciais, vigilância e interceptação de tráfego. “As cargas são protegidas com ofuscador de javascript, usando múltiplas técnicas, incluindo strings protegidas por RC4, nivelamento de fluxo de controle, funções de proxy e wrappers de operação”, disse a Check Point Research em um relatório técnico publicado na semana passada. O JSCeal foi documentado pela primeira vez pela Check Point em julho de 2025, destacando o uso de sites falsos de comércio de criptomoedas pelos atores da ameaça, para os quais usuários desavisados são redirecionados por meio de anúncios maliciosos no Facebook e no Google. Os sites falsificados os instruem a baixar instaladores falsos para o TradingView que levam à implantação do malware.
A atividade se sobrepõe a um cluster de ameaças sob os nomes WEEVILPROXY e MeadowLocust. As campanhas de malvertising que distribuem o malware usam dois arquivos ZIP entregues via PowerShell: um contendo o tempo de execução do Node.js e outro contendo a carga principal e outros componentes auxiliares. Ainda no mês passado, a plataforma de segurança de anúncios Confiant divulgou detalhes de uma enorme operação de malvertising chamada SourTrade, que foi observada personificando marcas confiáveis de negociação e criptomoeda, como Solana, Luno e TradingView, para servir portais semelhantes com JavaScript malicioso que instrui os navegadores da web a montar malware diretamente na memória. A campanha está avaliada como ativa desde o final de 2024, visando comerciantes de varejo e investidores em criptomoedas em 12 países e em 25 idiomas, principalmente na Ásia-Pacífico e na América Latina.
As evidências indicam que a campanha se sobrepõe a uma campanha JSCeal descrita pela Bitdefender em setembro de 2025. “O que torna SourTrade tecnicamente distinto é o que acontece em sua página de destino”, disse Confiant. "Ele não distribui malware finalizado. Em vez disso, ele fornece instruções de montagem ao navegador da vítima, recupera um arquivo limpo e legítimo de uma infraestrutura separada e direciona o navegador para construir o malware final na memória da máquina da vítima.
Nenhum malware finalizado existe na rede." JSCeal é protegido usando javascript-obfuscator, com os operadores usando repetidamente quatro grupos de transformações para ocultar o malware. Isso inclui - A empresa israelense de segurança cibernética disse que desenvolveu um "pipeline de desofuscação totalmente estático" para decodificar bytecode JavaScript V8 compilado protegido com o utilitário, oferecendo assim insights sobre o fluxo de execução do malware e seus recursos, contando sua capacidade de enumerar navegadores instalados e consultar segredos salvos, cookies, tokens OAuth e outros dados deles, bem como funções de "roteador" que registram manipuladores para as informações coletadas. O módulo de roubo de navegador tem como alvo uma longa lista de navegadores baseados em Chromium, como Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi e Cốc Cốc. Para cada navegador, o malware navega até o local esperado do diretório de dados do usuário e lista os perfis disponíveis, de onde são extraídos cookies e senhas.
Além do mais, o JSCeal está equipado para aproveitar os dados de cookies roubados para reconstruir uma sessão do navegador e conduzir ataques de repetição de sessão ativa para ignorar a autenticação e obter acesso não autorizado à conta do Google da vítima. Um segundo módulo incorporado ao malware oferece recursos de vigilância gravando as teclas digitadas e capturando capturas de tela. “Uma técnica comum usada por trojans bancários é instalar um proxy local e injetar ou modificar conteúdo da web em serviços selecionados”, disse Check Point. "JSCeal segue um padrão semelhante: o código recuperado mostra configuração de proxy, geração e instalação de certificados e solicitação específica de serviço e modificação de resposta." “O proxy não está limitado à interceptação passiva.
O código recuperado contém manipuladores dedicados que modificam solicitações e respostas selecionadas para serviços específicos. passeios para Binance, Bybit e Ledger, bem como manipuladores genéricos para substituir HTML, bloquear hosts e limpar cookies selecionados." Também existem vários manipuladores focados especificamente em plataformas de criptomoeda, um dos quais captura dados de contas e registra saldos de criptomoedas. "JSCeal combina duas formas de fricção de análise: um formato V8 compilado específico da versão e várias camadas de ofuscação de JavaScript aplicadas antes da compilação. Nenhum dos dois torna o malware impossível de reverter, mas juntos eles o movem para fora dos fluxos de trabalho nos quais os analistas normalmente dependem”, disse a pesquisadora de segurança Aleksandra “Hasherezade” Doniec.
“Tomados em conjunto, esses desenvolvimentos mostram que os autores do JSCeal estão investindo tanto para tornar a carga útil mais difícil de analisar quanto para ampliar a cobertura de sua plataforma. Com as campanhas continuando nos últimos meses, as mudanças indicam que o JSCeal permanece em desenvolvimento ativo." Veja como testar novos CVEs em seu ambiente, confirmar o que os invasores podem realmente explorar e corrigir as exposições que representam o maior risco. Aprenda como identificar riscos exploráveis mais rapidamente, priorizar o que é mais importante e reduzir a exposição antes que os ataques alimentados por IA acelerem a ameaça. Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.