JSCeal обходит защиту Google через украденные cookies
Вредоносная программа похищает данные браузера, восстанавливает сессии пользователей и получает доступ к аккаунтам Google без повторной аутентификации. Её также используют для перехвата трафика и слежки за действиями жертвы.
Исследователи Check Point разобрали JSCeal — вредоносную программу на скомпилированном JavaScript-байткоде V8, которая умеет красть данные браузеров и использовать похищенные cookies для повторного воспроизведения сессии. Это позволяет обойти аутентификацию и получить несанкционированный доступ к аккаунту Google жертвы.
Модуль кражи данных ищет профили в браузерах на базе Chromium, включая Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi и Cốc Cốc. Из них JSCeal извлекает cookies, пароли, OAuth-токены и другие сохранённые секреты. Затем вредонос может собрать браузерную сессию на основе похищенных данных.
В программе также есть функции слежки: запись нажатий клавиш и создание снимков экрана. Кроме того, исследователи обнаружили механизм локального прокси-сервера с генерацией и установкой сертификата. Он способен не только перехватывать, но и изменять запросы и ответы отдельных сервисов.
Для криптовалютных платформ предусмотрены специальные обработчики. В коде есть настройки для Binance, Bybit и Ledger, а также функции замены HTML, блокировки хостов и очистки выбранных cookies. Один из обработчиков собирает данные аккаунта и сведения о криптовалютных балансах.
JSCeal защищён несколькими слоями обфускации: строки шифруются RC4, управление программой намеренно усложнено, а вызовы функций и простые операции скрываются за вспомогательными обёртками. По оценке Check Point, сочетание скомпилированного формата V8 и обфускации затрудняет анализ, хотя не делает его невозможным.
Ранее JSCeal распространяли через поддельные сайты криптовалютных сервисов и торговых платформ. Пользователей перенаправляли на такие страницы через вредоносную рекламу в Facebook и Google, после чего предлагали скачать фальшивый установщик TradingView. Check Point впервые описала эту угрозу в июле 2025 года; исследователи считают, что вредонос продолжает развиваться.