Malware JSCeal usa cookies roubados para acessar contas Google sem nova autenticação
Pesquisadores da Check Point identificaram novos recursos do JSCeal, um malware desenvolvido em JavaScript V8 compilado que combina roubo de credenciais, espionagem do usuário e interceptação de tráfego. Uma das funções mais preocupantes é a capacidade de capturar cookies de sessão e reutilizá-los para reconstruir sessões do navegador, permitindo tentativas de acesso a contas Google sem que a vítima precise informar novamente a senha ou concluir todo o processo de autenticação.
O ataque não depende necessariamente da descoberta da senha. Quando um cookie de sessão válido é roubado, o criminoso pode tentar assumir uma sessão que já havia sido autenticada no dispositivo. Esse tipo de abuso, conhecido como session replay, explora tokens temporários armazenados pelo navegador e pode contornar mecanismos convencionais de login, embora medidas adicionais, como verificações de risco e autenticação multifator, ainda possam impedir o acesso.
Como o JSCeal chega aos computadores
O JSCeal foi documentado inicialmente em julho de 2025, em campanhas de publicidade maliciosa veiculadas no Facebook e no Google. Os anúncios direcionavam usuários para páginas falsas de negociação de criptomoedas, que imitavam serviços legítimos e ofereciam supostos instaladores do TradingView. Em vez do aplicativo prometido, o download iniciava a instalação do malware.
A atividade apresenta pontos de contato com grupos identificados como WEEVILPROXY e MeadowLocust. Outra operação relacionada, chamada SourTrade pela Confiant, permanece ativa desde pelo menos o fim de 2024. A campanha utiliza marcas conhecidas do setor, incluindo Solana, Luno e TradingView, para atrair investidores e traders.
A distribuição atingiu vítimas em 12 países e empregou materiais em 25 idiomas. Os principais alvos estavam na região Ásia-Pacífico e na América Latina, mas a estrutura da operação permite alcançar usuários de diferentes localidades com pequenas adaptações no idioma e na identidade visual das páginas fraudulentas.
Nas campanhas observadas, arquivos ZIP são entregues por meio do PowerShell. Um pacote inclui o ambiente de execução Node.js, enquanto o outro contém o payload principal do JSCeal e componentes auxiliares necessários para a infecção.
Payload montado diretamente na memória
Um aspecto técnico relevante é o método utilizado para entregar o código malicioso. Em vez de disponibilizar na rede um executável completo e facilmente identificável, a página fraudulenta orienta o navegador a obter um arquivo legítimo hospedado em outra infraestrutura. Em seguida, componentes são combinados e o malware final é montado diretamente na memória do computador.
Essa estratégia reduz a exposição do payload completo durante o download e pode dificultar a detecção por ferramentas que analisam apenas arquivos armazenados em disco. Também permite que os operadores alterem partes da cadeia de infecção sem precisar substituir toda a estrutura utilizada pela campanha.
Técnicas para dificultar a análise
O JSCeal emprega diversas técnicas destinadas a atrasar a engenharia reversa. O código utiliza o javascript-obfuscator, protege strings com RC4, aplica control-flow flattening e recorre a funções proxy e wrappers até mesmo em operações simples.
Além disso, o malware é distribuído como bytecode JavaScript V8 compilado. Esse formato acrescenta uma camada de dificuldade para analistas que normalmente começam a investigação a partir do código-fonte ou de scripts legíveis. A combinação entre compilação e ofuscação não impede totalmente a análise, mas torna mais demorado identificar a lógica, os comandos e os indicadores da ameaça.
As mudanças observadas nas versões recentes sugerem que o JSCeal continua sendo aprimorado. A evolução constante também indica que os operadores monitoram as técnicas de detecção e ajustam a ameaça para prolongar sua permanência nos dispositivos infectados.
Dados roubados dos navegadores
Depois de ser executado, o malware procura navegadores instalados e examina os perfis de usuário disponíveis. O objetivo é localizar senhas, cookies, tokens OAuth e outros segredos armazenados localmente.
A ameaça afeta uma ampla variedade de navegadores baseados em Chromium, entre eles:
– Google Chrome;
– Microsoft Edge;
– Brave;
– Opera;
– Opera GX;
– Avast Secure Browser;
– Vivaldi;
– Cốc Cốc.
Para cada navegador identificado, o JSCeal acessa os diretórios de dados esperados, enumera os perfis e tenta extrair informações de autenticação. Caso a vítima utilize mais de um perfil ou mantenha várias contas conectadas, o volume de dados exposto pode ser ainda maior.
Espionagem e interceptação de tráfego
O malware também inclui funções de vigilância. Entre os recursos identificados estão o registro de teclas digitadas e a captura de telas, permitindo acompanhar atividades realizadas no computador, visualizar informações confidenciais e observar transações.
Outro módulo cria um proxy local, instala certificados e intercepta requisições e respostas de determinados serviços. Com isso, a ameaça pode observar o tráfego e, em alguns casos, alterar o conteúdo recebido ou enviado pelo navegador.
A capacidade de interferência inclui handlers específicos para Binance, Bybit e Ledger. O código também contém funções genéricas para substituir elementos HTML, bloquear determinados hosts e excluir cookies selecionados. Componentes voltados ao ecossistema de criptomoedas podem capturar dados de contas e registrar os saldos das vítimas.
Por que o roubo de cookies é perigoso
Senhas fortes não eliminam todos os riscos quando o dispositivo está infectado. Um cookie de sessão representa a autorização concedida após o login e, enquanto permanecer válido, pode ser usado por um invasor para tentar reproduzir a sessão original.
A exposição pode envolver e-mails, arquivos armazenados na nuvem, contatos, documentos, histórico de atividades e serviços vinculados à conta Google. Se a conta comprometida for utilizada para recuperação de outros serviços, o incidente pode se transformar em uma cadeia de invasões.
A autenticação multifator continua sendo uma proteção importante, mas não deve ser tratada como solução única. Dependendo do serviço, uma sessão já validada pode reduzir a necessidade de novas confirmações. Por isso, a segurança precisa combinar proteção do dispositivo, controle de sessões ativas e atenção a downloads suspeitos.
Como reduzir o risco
Usuários devem evitar instalar programas a partir de anúncios, páginas de investimento desconhecidas ou resultados patrocinados que prometam versões gratuitas de aplicativos populares. O ideal é baixar softwares apenas de sites oficiais e verificar cuidadosamente o domínio antes de iniciar qualquer instalação.
Também é recomendável manter navegador, sistema operacional e ferramentas de segurança atualizados. Extensões desconhecidas devem ser removidas, e arquivos ZIP recebidos por mensagens, páginas de negociação ou anúncios precisam ser tratados com cautela, especialmente quando exigem a execução de comandos no PowerShell.
Em caso de suspeita de infecção, a prioridade é interromper a conexão do dispositivo com a internet e realizar uma análise com uma solução de segurança confiável. A partir de outro aparelho considerado seguro, o usuário deve encerrar sessões ativas, trocar senhas, revisar métodos de recuperação e verificar aplicativos autorizados na conta.
A revogação de sessões é essencial porque alterar apenas a senha pode não invalidar imediatamente todos os tokens já capturados. Também é importante conferir movimentações financeiras, atividades recentes, dispositivos conectados e regras de encaminhamento configuradas no e-mail.
Para empresas, controles adicionais podem incluir gerenciamento centralizado de navegadores, bloqueio de execução de scripts não autorizados, restrição ao PowerShell, proteção contra roubo de credenciais e monitoramento de acessos anômalos. Políticas de menor privilégio ajudam a limitar o impacto caso um computador seja comprometido.
A combinação entre bytecode V8, ofuscação avançada, roubo de cookies, captura de credenciais e interceptação de tráfego torna o JSCeal uma ameaça versátil. Mesmo sem quebrar diretamente a senha, o malware pode explorar a confiança já estabelecida entre navegador e serviços online, reforçando a necessidade de proteger tanto as credenciais quanto as sessões autenticadas.