Malware JSCeal rouba cookies de sessão para acessar contas Google sem autenticação

Pesquisadores da Check Point detalharam novas capacidades do malware JSCeal, uma ameaça baseada em JavaScript V8 compilado capaz de roubar credenciais, monitorar usuários e interceptar tráfego. Entre os recursos identificados está o uso de cookies de sessão roubados para reconstruir sessões do navegador e obter acesso não autorizado a contas Google, contornando o processo normal de autenticação.

O JSCeal foi documentado inicialmente em julho de 2025 em campanhas que utilizavam anúncios maliciosos no Facebook e Google para direcionar vítimas a falsas plataformas de negociação de criptomoedas. Os sites fraudulentos instruíam os usuários a baixar supostos instaladores do TradingView, que na realidade levavam à instalação do malware. A atividade apresenta sobreposição com grupos rastreados como WEEVILPROXY e MeadowLocust.

Nas campanhas de malvertising, dois arquivos ZIP são entregues por meio do PowerShell. Um deles contém o ambiente de execução Node.js, enquanto o segundo carrega o payload principal do JSCeal e componentes auxiliares necessários para a operação.

Uma campanha relacionada, denominada SourTrade pela Confiant, permanece ativa desde pelo menos o final de 2024 e utiliza marcas conhecidas do mercado de negociação e criptomoedas, como Solana, Luno e TradingView. A operação atingiu investidores e traders em 12 países, utilizando conteúdo em 25 idiomas, com concentração principalmente na região Ásia-Pacífico e América Latina.

Um dos diferenciais técnicos dessa campanha está na forma como o malware é entregue. Em vez de transferir diretamente o arquivo malicioso pronto, a página fornece instruções para que o navegador da vítima obtenha um arquivo legítimo de outra infraestrutura e monte o malware final diretamente na memória do computador. Dessa maneira, o payload completo não precisa trafegar pela rede na forma final.

A análise da Check Point também mostra que os operadores investiram significativamente em técnicas para dificultar a engenharia reversa. O JSCeal utiliza javascript-obfuscator, strings protegidas com RC4, control-flow flattening, funções proxy e wrappers para operações simples. Além disso, o código é distribuído como bytecode JavaScript V8 compilado, adicionando outra camada de complexidade à análise.

Após conseguir executar no sistema, o malware enumera navegadores instalados e procura informações armazenadas nos diferentes perfis. Entre os dados visados estão senhas, cookies, tokens OAuth e outros segredos que podem permitir o comprometimento de contas.

A lista de navegadores Chromium afetados é extensa e inclui Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi e Cốc Cốc. Para cada navegador encontrado, o JSCeal acessa os diretórios esperados dos dados do usuário, identifica os perfis disponíveis e extrai cookies e senhas armazenadas.

Uma das capacidades mais relevantes é o chamado session replay. Com um cookie de sessão válido roubado da vítima, o JSCeal pode reconstruir uma sessão do navegador e tentar acessar uma conta Google sem passar novamente pelo fluxo convencional de autenticação. Na prática, o ataque explora uma sessão que já havia sido autenticada pelo usuário, em vez de necessariamente quebrar ou descobrir sua senha.

O malware também possui funções de espionagem capazes de registrar teclas digitadas e capturar screenshots. Outro módulo configura um proxy local, gera e instala certificados e pode interceptar e modificar requisições e respostas de serviços específicos.

Esse mecanismo vai além da simples observação do tráfego. O código analisado possui handlers específicos para plataformas como Binance, Bybit e Ledger, além de funções genéricas para substituir HTML, bloquear hosts e remover cookies selecionados. Outros componentes voltados a serviços de criptomoedas conseguem capturar informações das contas e registrar os saldos das vítimas.

Segundo os pesquisadores, a combinação do formato compilado específico do V8 com múltiplas camadas de ofuscação não torna o JSCeal impossível de analisar, mas dificulta o uso dos fluxos tradicionais empregados por analistas de malware. As mudanças recentes também indicam que a ameaça continua em desenvolvimento ativo, enquanto as campanhas associadas permanecem em operação.