JSCeal rouba cookies de sessão e tenta acessar contas Google sem nova autenticação
Pesquisadores da Check Point identificaram novas funções no JSCeal, um malware desenvolvido em JavaScript V8 compilado que combina roubo de credenciais, espionagem e interceptação de tráfego. Entre os recursos mais preocupantes está a capacidade de copiar cookies de sessão e reutilizá-los para reconstruir sessões do navegador, permitindo tentativas de acesso a contas Google sem repetir o processo tradicional de login.
Esse tipo de ataque não depende necessariamente da descoberta da senha. Em vez disso, o criminoso aproveita uma sessão que já foi validada no navegador da vítima. Quando o cookie continua válido, ele pode funcionar como um comprovante temporário de autenticação, embora mecanismos adicionais de segurança ainda possam impedir o acesso em determinados casos.
Campanhas usam falsas plataformas de criptomoedas
O JSCeal foi documentado inicialmente em julho de 2025, em campanhas de publicidade maliciosa veiculadas no Facebook e no Google. Os anúncios direcionavam usuários para páginas que imitavam plataformas de negociação de criptomoedas e prometiam acesso a instaladores do TradingView.
Na realidade, os arquivos oferecidos não instalavam o aplicativo legítimo. Eles introduziam o malware no computador. A atividade apresenta características semelhantes às operações atribuídas aos grupos monitorados como WEEVILPROXY e MeadowLocust.
Uma campanha relacionada, chamada SourTrade pela Confiant, estaria ativa desde pelo menos o fim de 2024. A operação explora marcas conhecidas do setor financeiro e cripto, incluindo Solana, Luno e TradingView. Usuários de 12 países foram atingidos, com materiais distribuídos em 25 idiomas e maior concentração na região Ásia-Pacífico e na América Latina.
Infecção combina PowerShell e componentes falsos
Nas campanhas analisadas, a entrega ocorre por meio de dois arquivos ZIP baixados usando PowerShell. Um pacote contém o ambiente de execução Node.js, enquanto o outro reúne o payload principal do JSCeal e módulos auxiliares usados durante a infecção.
A distribuição também emprega uma técnica que reduz a exposição do arquivo malicioso completo. Em vez de enviar diretamente um instalador pronto, a página orienta o navegador a baixar um componente legítimo de outra infraestrutura e, depois, montar o payload final na memória do computador.
Essa abordagem dificulta a detecção baseada apenas em arquivos baixados. Como o malware pode ser construído durante a execução, soluções de segurança precisam observar também comportamentos, processos, comandos PowerShell, alterações no navegador e conexões de rede.
Ofuscação dificulta a análise técnica
Os operadores adotaram várias camadas para dificultar a engenharia reversa. O código usa o javascript-obfuscator, protege strings com RC4 e aplica técnicas como control-flow flattening, funções proxy e wrappers para tarefas simples.
Outro fator de complexidade é a distribuição do programa como bytecode JavaScript V8 compilado. Embora essa estratégia não impeça completamente a análise, ela reduz a eficiência dos procedimentos convencionais utilizados por pesquisadores para compreender o funcionamento de ameaças baseadas em JavaScript.
As alterações observadas no código indicam que o JSCeal segue em desenvolvimento. A atualização constante dos componentes também sugere que os operadores pretendem prolongar a vida útil da infraestrutura e contornar novas regras de detecção.
Navegadores e dados armazenados são alvos
Depois de executado, o malware procura navegadores instalados e examina os diferentes perfis de usuário. O objetivo é coletar senhas salvas, cookies, tokens OAuth e outros segredos armazenados localmente.
A lista de navegadores Chromium visados inclui Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi e Cốc Cốc. Para cada aplicação encontrada, o JSCeal verifica os diretórios padrão, identifica os perfis existentes e tenta extrair as informações disponíveis.
O risco aumenta quando o usuário mantém sessões abertas em serviços de e-mail, armazenamento em nuvem, redes sociais, plataformas financeiras ou sistemas corporativos. Um cookie roubado pode oferecer ao invasor uma oportunidade de agir antes que a sessão expire ou seja invalidada.
Session replay contorna parte do login convencional
O recurso chamado session replay é um dos elementos mais relevantes do JSCeal. A técnica consiste em reutilizar um cookie de sessão válido para reconstruir a sessão do navegador e tentar acessar uma conta Google já autenticada.
Na prática, o criminoso não precisa obter a senha para iniciar o ataque. Ele explora o estado de autenticação existente no navegador. Isso pode reduzir a eficácia de medidas como senhas fortes e autenticação em duas etapas, especialmente quando o invasor consegue usar o cookie antes da renovação ou revogação da sessão.
Ainda assim, o método não garante acesso automático a todas as contas. Controles adicionais, como chaves de segurança, validações de risco, reautenticação obrigatória e revogação de sessões, podem bloquear a tentativa.
Espionagem e interceptação de tráfego
Além do roubo de dados do navegador, o JSCeal possui funções para registrar teclas digitadas e capturar imagens da tela. Esses recursos permitem acompanhar atividades realizadas pelo usuário e coletar informações que não estejam armazenadas diretamente nos arquivos do navegador.
Outro módulo cria um proxy local, instala certificados e tenta interceptar requisições e respostas de serviços específicos. Com isso, a ameaça pode observar o tráfego e, em determinadas situações, alterar o conteúdo recebido ou enviado pelo computador.
O código analisado contém handlers direcionados a plataformas como Binance, Bybit e Ledger. Também há funções genéricas para substituir trechos de HTML, bloquear hosts e remover cookies selecionados. Componentes voltados a serviços de criptomoedas podem capturar dados de contas e registrar os saldos das vítimas.
Como reduzir o risco de infecção
Usuários devem evitar instaladores obtidos por anúncios, especialmente quando a página imita marcas conhecidas ou solicita a execução de comandos no PowerShell. Aplicativos devem ser baixados somente de páginas oficiais e, sempre que possível, instalados por lojas ou mecanismos confiáveis.
Também é recomendável revisar regularmente as sessões ativas das contas Google e revogar acessos desconhecidos. Após uma suspeita de infecção, a prioridade deve ser usar um dispositivo confiável para alterar senhas, encerrar sessões abertas e renovar tokens de acesso.
A autenticação multifator continua sendo importante, mas não deve ser tratada como proteção absoluta contra roubo de sessão. Chaves físicas de segurança e métodos resistentes a phishing oferecem uma camada mais robusta do que códigos temporários quando estão disponíveis.
Empresas podem reduzir a exposição aplicando políticas que bloqueiem scripts suspeitos, controlem o uso de PowerShell, monitorem a criação de proxies locais e impeçam a instalação de certificados não autorizados. A análise de comportamento deve complementar o antivírus tradicional.
A combinação entre bytecode V8, ofuscação, roubo de cookies, keylogging e interceptação de tráfego torna o JSCeal uma ameaça versátil. As campanhas associadas permanecem ativas, e a evolução do malware reforça a necessidade de manter sistemas atualizados, controlar extensões e aplicativos instalados e tratar anúncios de criptomoedas com cautela.