Forscher von Check Point Research haben eine detaillierte technische Analyse von JSCeal veröffentlicht – einer Malware, die in den Bytecode der V8-Engine kompiliert ist und über gefälschte Krypto- und Trading-Anwendungen verbreitet wird. Die Schadsoftware kann Anmeldedaten und Cookies aus acht Chromium-Browsern stehlen, den HTTPS-Traffic von Kryptowährungsdiensten (Binance, Bybit, Ledger) abfangen und modifizieren sowie Sitzungen reproduzieren, um die Authentifizierung von Google zu umgehen. Nach Schätzungen von Check Point wurden allein im ersten Halbjahr 2025 rund 35 000 bösartige Werbeanzeigen entdeckt, mit einer konservativ geschätzten Reichweite von etwa 3,5 Millionen Accounts in der Europäischen Union. Die Bedrohung betrifft Retail-Trader und Krypto-Investoren, die populäre Browser unter Windows nutzen, und neueste Samples deuten auf eine Ausweitung auf macOS hin.
Mechanismus der Auslieferung und Infektionskette
Nach Angaben der Forscher ist die Kampagne zur Verbreitung von JSCeal mindestens seit März 2024 aktiv. Die Operatoren setzen Malvertising ein – schädliche Werbung in sozialen Netzwerken, die fast 50 Krypto- und Trading-Marken imitiert, darunter TradingView. Opfer werden auf gefälschte Websites umgeleitet, auf denen ihnen der Download falscher Installer angeboten wird.
Die Auslieferung erfolgt über PowerShell, das zwei ZIP-Archive nachlädt:
- Das erste enthält die Node.js-Laufzeitumgebung
- Das zweite – die eigentliche Payload im Format
.jsc(kompilierter V8-Bytecode), Hilfsskripte, native Node.js-Module und Utilities wie winpty-agent.exe
Die Trennung von Runtime und Payload in zwei verschiedene Archive ist eine bewusste Entscheidung: Das legitime Node.js löst keine Erkennungen durch Antivirenlösungen aus, und kompilierter Bytecode ist deutlich schwerer zu analysieren als gewöhnliches JavaScript. Die Aktivität wird mit einem Bedrohungscluster in Verbindung gebracht, das unter den Namen WEEVILPROXY und MeadowLocust bekannt ist, wobei die Namensgleichheit für sich genommen noch keinen einheitlichen Operator beweist.
Mehrschichtige Obfuskation
JSCeal ist mit Hilfe von javascript-obfuscator geschützt – einem Tool mit offenem Quellcode. Die Betreiber wenden nacheinander vier Gruppen von Transformationen an:
- Umbenennung von Bezeichnern – Ersetzen von Funktions- und Variablennamen durch sinnlose kurze Zeichenketten
- String-Verschlüsselung – kritisch wichtige Strings werden in Fragmente zerlegt, kodiert und mit dem RC4-Algorithmus geschützt und anschließend über Decoder-Funktionen wiederhergestellt
- Glättung des Kontrollflusses – die Programmlogik wird in einen flachen switch-Operator innerhalb einer Endlosschleife überführt, die von einer Zustandsvariablen gesteuert wird
- Proxy-Funktionen und Wrapper für Operationen – Funktionsaufrufe werden über zwischengeschaltete Helper umgeleitet, und selbst einfache Operationen (Addition, Vergleich) werden in eigene Funktionen gekapselt
Diese Transformationen werden vor der Kompilierung in V8-Bytecode angewendet und bilden damit eine doppelte Barriere: Die Analyse trifft gleichzeitig auf ein versionsabhängiges Binärformat und mehrere Schichten JavaScript-Obfuskation. Wie die Forscherin Alexandra Donets (Hasherezade) anmerkt, macht keine dieser Barrieren für sich genommen Reverse Engineering unmöglich, doch zusammen verlagern sie die Analyse aus den üblichen Arbeitsabläufen heraus.
Zur Lösung dieses Problems hat Check Point eine vollständig statische Deobfuskations-Pipeline entwickelt, die den V8-Pseudocode verarbeitet, ohne die Malware auszuführen. Das Tool wurde erfolgreich auf alle 23 untersuchten JSCeal-Samples angewendet.
Fähigkeiten der Malware
Datendiebstahl aus Browsern
Das Datendiebstahl-Modul zielt auf die folgenden Chromium-Browser ab:
- Google Chrome, Microsoft Edge, Brave
- Opera, Opera GX, Avast Secure Browser
- Vivaldi, Cốc Cốc
Für jeden Browser ermittelt die Malware das Verzeichnis der Benutzerdaten, listet die Profile auf und extrahiert Cookies, gespeicherte Passwörter und OAuth-Tokens. Unterstützt werden die Verschlüsselungsformate Chromium v10, v11 und v20.
Sitzungsreplay und Umgehung der Authentifizierung
JSCeal enthält einen auf Puppeteer basierenden Workflow, der den installierten Browser startet, die gestohlenen Cookies injiziert, mit Authentifizierungsseiten interagiert, nach den Cookies user_id und oauth_token sucht und das erhaltene Google-OAuth-Token speichert. Dies ermöglicht Session-Replay-Angriffe zum unautorisierten Zugriff auf Google-Accounts, deren Erfolg jedoch von der jeweils aktuellen Version der Authentifizierungsmechanismen abhängt.
Abfangen und Modifizieren von HTTPS-Traffic
Die Malware richtet einen lokalen Proxy-Server ein und generiert ein eigenes Zertifikat, das sie in das System einschleust. Der Proxy beschränkt sich nicht auf passives Beobachten – der rekonstruierte Code enthält dedizierte Handler zur Modifikation von Anfragen und Antworten. Die Konfigurationsfunktion enthält separate Overrides für Binance, Bybit und Ledger sowie generische Handler zum Ersetzen von HTML, Blockieren von Hosts und Löschen ausgewählter Cookies. Ein separates Krypto-Modul sammelt Kontodaten und Guthaben auf zahlreichen Plattformen, darunter OKX, Kraken, KuCoin, MEXC und Gate.io.
Überwachung
Weitere Module ermöglichen die Aufzeichnung von Tastatureingaben, das Anfertigen von Screenshots und den Diebstahl von Telegram-Sessions.
Evolution und Ausweitung der Zielplattformen
Nach Angaben von Check Point zeigen die neuesten JSCeal-Samples eine aktive Weiterentwicklung: eine überarbeitete Generation des Node.js/V8-Codecaches, eine zusätzliche Verschlüsselungsschicht für die Payload und – besonders wichtig – das Auftauchen von Samples, die auf macOS abzielen. Dies weist auf eine Ausweitung der unterstützten Plattformen über Windows hinaus hin.
Einschätzung der Auswirkungen
Die Haupt-Risikogruppe sind Retail-Trader und Krypto-Investoren, die Chromium-Browser für die Arbeit mit Kryptowährungsbörsen nutzen. Die Kombination aus Credential-Diebstahl, Traffic-Abfang und Session-Replay schafft die Voraussetzungen für eine vollständige Kompromittierung von Krypto-Accounts mit direkten finanziellen Verlusten. Das Ausmaß des Malvertisings (etwa 35 000 Anzeigen in einem halben Jahr) weist auf den industriellen Charakter der Operation hin.
Empfehlungen zum Schutz
- Software nur aus offiziellen Quellen laden – installieren Sie TradingView oder andere Trading-Anwendungen nicht über Links aus Werbung in sozialen Netzwerken
- Zertifikate prüfen – überwachen Sie das Auftauchen unbekannter Root-Zertifikate im Speicher des Systems und der Browser; deren Vorhandensein kann auf die Installation eines abfangenden Proxys hinweisen
- PowerShell überwachen – richten Sie Logging und Alarme für PowerShell-Befehle ein, die ZIP-Archive von externen Servern herunterladen
- Hardware-Keys für die Authentifizierung – nutzen Sie FIDO2/WebAuthn zum Schutz von Google-Accounts und Krypto-Börsenaccounts; dies neutralisiert Session-Replay-Angriffe auf Basis von Cookies
- Audit von Erweiterungen und Node.js-Prozessen – unerwartete node.exe-Prozesse, die .jsc-Dateien aus Benutzerverzeichnissen laden, sind ein Indikator für eine Kompromittierung
- Rotation von Tokens – bei Verdacht auf eine Kompromittierung widerrufen Sie umgehend Google-OAuth-Tokens und setzen Sie Sessions auf allen Kryptowährungsplattformen zurück
JSCeal verdeutlicht eine Tendenz, bei der Autoren von Malware in unkonventionelle Ausführungsformate investieren (kompilierter V8-Bytecode statt herkömmlicher Executables), um traditionelle Analysemethoden zu umgehen. Für Organisationen und private Trader besteht eine vorrangige Maßnahme im Umstieg auf hardwarebasierte Authentifizierungsmethoden für Kryptowährungsdienste und Google-Accounts sowie in der Einführung eines Monitorings für die Ausführung von Node.js-Prozessen in untypischen Kontexten – genau diese Schritte neutralisieren die zentralen Fähigkeiten von JSCeal zum Diebstahl von Sessions und zum Abfangen von Traffic.
