📰 Informação fresquinha chegando para você!
Sua opinião é importante: leia e participe!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética descompactaram o JSCeal, um sofisticado malware V8 JavaScript (JSC) compilado com recursos de coleta de credenciais, vigilância e interceptação de tráfego.
“As cargas são protegidas com ofuscador de javascript, usando múltiplas técnicas, incluindo strings protegidas por RC4, nivelamento de fluxo de controle, funções de proxy e wrappers de operação”, disse a Check Point Research em um relatório técnico publicado na semana passada.
O JSCeal foi documentado pela primeira vez pela Check Point em julho de 2025, destacando o uso de sites falsos de comércio de criptomoedas pelos atores da ameaça, para os quais usuários desavisados são redirecionados por meio de anúncios maliciosos no Facebook e no Google. Os sites falsificados os instruem a baixar instaladores falsos para o TradingView que levam à implantação do malware. A atividade se sobrepõe a um cluster de ameaças sob os nomes WEEVILPROXY e MeadowLocust.
As campanhas de malvertising que distribuem o malware usam dois arquivos ZIP entregues via PowerShell: um contendo o tempo de execução do Node.js e outro contendo a carga principal e outros componentes auxiliares.
Ainda no mês passado, a plataforma de segurança de anúncios Confiant divulgou detalhes de uma operação massiva de malvertising chamada SourTrade, que foi observada personificando marcas confiáveis de negociação e criptomoeda, como Solana, Luno e TradingView, para servir portais semelhantes com JavaScript malicioso que instrui navegadores da web a montar malware diretamente na memória.
A campanha está avaliada como ativa desde o final de 2024, visando comerciantes de varejo e investidores em criptomoedas em 12 países e em 25 idiomas, principalmente na Ásia-Pacífico e na América Latina. As evidências indicam que a campanha se sobrepõe a uma campanha JSCeal descrita pela Bitdefender em setembro de 2025.
“O que torna a SourTrade tecnicamente distinta é o que acontece em sua landing page”, disse Confiant. "Ele não distribui malware finalizado. Em vez disso, ele fornece instruções de montagem ao navegador da vítima, recupera um arquivo limpo e legítimo de uma infraestrutura separada e direciona o navegador para construir o malware final na memória da máquina da vítima. Nenhum malware finalizado existe na rede."
JSCeal é protegido usando javascript-obfuscator, com os operadores usando repetidamente quatro grupos de transformações para ocultar o malware. Estes incluem -
Substituindo nomes de funções e variáveis por identificadores curtos ou sem sentido
Dividir strings importantes em pedaços (que são posteriormente codificados e protegidos por RC4) e depois reconstruí-los por meio de funções de decodificador
Usando o nivelamento do fluxo de controle para transformar o fluxo do programa em uma instrução switch simples e de nível único controlada por um loop infinito e uma variável de estado com o objetivo de dificultar a análise e a engenharia reversa
Encaminhamento de chamadas de função por meio de auxiliares de proxy e agrupamento de operações simples, como adição, subtração, comparação ou invocação de função, em funções auxiliares dedicadas
A empresa israelense de segurança cibernética disse que desenvolveu um “pipeline de desofuscação totalmente estático” para decodificar bytecode JavaScript V8 compilado protegido com o utilitário, oferecendo assim insights sobre o fluxo de execução do malware e seus recursos, contando sua capacidade de enumerar navegadores instalados e consultar segredos salvos, cookies, tokens OAuth e outros dados deles, bem como funções de “roteador” que registram manipuladores para as informações coletadas.
O módulo de roubo de navegador tem como alvo uma longa lista de navegadores baseados em Chromium, como Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi e Cốc Cốc. Para cada navegador, o malware navega até o local esperado do diretório de dados do usuário e lista os perfis disponíveis, de onde são extraídos cookies e senhas.
Além do mais, o JSCeal está equipado para aproveitar os dados de cookies roubados para reconstruir uma sessão do navegador e conduzir ataques de repetição de sessão ativa para ignorar a autenticação e obter acesso não autorizado à conta do Google da vítima. Um segundo módulo incorporado ao malware oferece recursos de vigilância gravando as teclas digitadas e capturando capturas de tela.
“Uma técnica comum usada por trojans bancários é instalar um proxy local e injetar ou modificar conteúdo da web em serviços selecionados”, disse Check Point. "JSCeal segue um padrão semelhante: o código recuperado mostra configuração de proxy, geração e instalação de certificados e solicitação específica de serviço e modificação de resposta."
"O proxy não está limitado à interceptação passiva. O código recuperado contém manipuladores dedicados que modificam solicitações e respostas selecionadas para serviços específicos. Uma função de configuração expõe substituições separadas para Binance, Bybit e Ledger, bem como manipuladores genéricos para substituir HTML, bloquear hosts e limpar cookies selecionados."
Também existem vários manipuladores focados especificamente
“As cargas são protegidas com ofuscador de javascript, usando múltiplas técnicas, incluindo strings protegidas por RC4, nivelamento de fluxo de controle, funções de proxy e wrappers de operação”, disse a Check Point Research em um relatório técnico publicado na semana passada.
O JSCeal foi documentado pela primeira vez pela Check Point em julho de 2025, destacando o uso de sites falsos de comércio de criptomoedas pelos atores da ameaça, para os quais usuários desavisados são redirecionados por meio de anúncios maliciosos no Facebook e no Google. Os sites falsificados os instruem a baixar instaladores falsos para o TradingView que levam à implantação do malware. A atividade se sobrepõe a um cluster de ameaças sob os nomes WEEVILPROXY e MeadowLocust.
As campanhas de malvertising que distribuem o malware usam dois arquivos ZIP entregues via PowerShell: um contendo o tempo de execução do Node.js e outro contendo a carga principal e outros componentes auxiliares.
Ainda no mês passado, a plataforma de segurança de anúncios Confiant divulgou detalhes de uma operação massiva de malvertising chamada SourTrade, que foi observada personificando marcas confiáveis de negociação e criptomoeda, como Solana, Luno e TradingView, para servir portais semelhantes com JavaScript malicioso que instrui navegadores da web a montar malware diretamente na memória.
A campanha está avaliada como ativa desde o final de 2024, visando comerciantes de varejo e investidores em criptomoedas em 12 países e em 25 idiomas, principalmente na Ásia-Pacífico e na América Latina. As evidências indicam que a campanha se sobrepõe a uma campanha JSCeal descrita pela Bitdefender em setembro de 2025.
“O que torna a SourTrade tecnicamente distinta é o que acontece em sua landing page”, disse Confiant. "Ele não distribui malware finalizado. Em vez disso, ele fornece instruções de montagem ao navegador da vítima, recupera um arquivo limpo e legítimo de uma infraestrutura separada e direciona o navegador para construir o malware final na memória da máquina da vítima. Nenhum malware finalizado existe na rede."
JSCeal é protegido usando javascript-obfuscator, com os operadores usando repetidamente quatro grupos de transformações para ocultar o malware. Estes incluem -
Substituindo nomes de funções e variáveis por identificadores curtos ou sem sentido
Dividir strings importantes em pedaços (que são posteriormente codificados e protegidos por RC4) e depois reconstruí-los por meio de funções de decodificador
Usando o nivelamento do fluxo de controle para transformar o fluxo do programa em uma instrução switch simples e de nível único controlada por um loop infinito e uma variável de estado com o objetivo de dificultar a análise e a engenharia reversa
Encaminhamento de chamadas de função por meio de auxiliares de proxy e agrupamento de operações simples, como adição, subtração, comparação ou invocação de função, em funções auxiliares dedicadas
A empresa israelense de segurança cibernética disse que desenvolveu um “pipeline de desofuscação totalmente estático” para decodificar bytecode JavaScript V8 compilado protegido com o utilitário, oferecendo assim insights sobre o fluxo de execução do malware e seus recursos, contando sua capacidade de enumerar navegadores instalados e consultar segredos salvos, cookies, tokens OAuth e outros dados deles, bem como funções de “roteador” que registram manipuladores para as informações coletadas.
O módulo de roubo de navegador tem como alvo uma longa lista de navegadores baseados em Chromium, como Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi e Cốc Cốc. Para cada navegador, o malware navega até o local esperado do diretório de dados do usuário e lista os perfis disponíveis, de onde são extraídos cookies e senhas.
Além do mais, o JSCeal está equipado para aproveitar os dados de cookies roubados para reconstruir uma sessão do navegador e conduzir ataques de repetição de sessão ativa para ignorar a autenticação e obter acesso não autorizado à conta do Google da vítima. Um segundo módulo incorporado ao malware oferece recursos de vigilância gravando as teclas digitadas e capturando capturas de tela.
“Uma técnica comum usada por trojans bancários é instalar um proxy local e injetar ou modificar conteúdo da web em serviços selecionados”, disse Check Point. "JSCeal segue um padrão semelhante: o código recuperado mostra configuração de proxy, geração e instalação de certificados e solicitação específica de serviço e modificação de resposta."
"O proxy não está limitado à interceptação passiva. O código recuperado contém manipuladores dedicados que modificam solicitações e respostas selecionadas para serviços específicos. Uma função de configuração expõe substituições separadas para Binance, Bybit e Ledger, bem como manipuladores genéricos para substituir HTML, bloquear hosts e limpar cookies selecionados."
Também existem vários manipuladores focados especificamente
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #o #malware #jsceal #pode #ignorar #a #autenticação #do #google #usando #cookies #de #sessão #roubada
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário