JSCeal, un malware avanzato diffuso tramite campagne di malvertising, riesce a sottrarre credenziali e sessioni attive dai browser per accedere agli account Google delle vittime, eludendo i sistemi di autenticazione e colpendo investitori in criptovalute in Asia e America Latina.
Un malware capace di entrare negli account Google delle vittime senza password, sfruttando i cookie di sessione rubati dai browser: questa è la minaccia concreta rappresentata da JSCeal, la nuova arma dei cybercriminali che puntano a superare i sistemi di autenticazione più diffusi.
Dietro l'attacco non c'è un exploit zero-day, ma una strategia raffinata che parte da campagne di malvertising su Facebook e Google. Gli utenti vengono indirizzati verso siti di trading fasulli, spesso cloni di brand noti come TradingView, Solana o Luno, dove viene proposto il download di un installer apparentemente legittimo. In realtà, il file contiene il payload di JSCeal, un malware scritto in JavaScript compilato per il motore V8 e protetto da tecniche di offuscamento multilivello.
Come agisce JSCeal e perché è così difficile da analizzare
Il cuore della minaccia sta nella capacità di JSCeal di eludere le analisi statiche e dinamiche. Gli operatori utilizzano javascript-obfuscator con quattro livelli di trasformazione: nomi di variabili e funzioni resi illeggibili, stringhe spezzate e cifrate con RC4, controllo del flusso appiattito in switch statement e funzioni proxy che mascherano le operazioni basilari. Check Point Research ha dovuto sviluppare una pipeline di deoffuscamento ad hoc per ricostruire il funzionamento del malware e mappare le sue funzioni principali.
Una volta installato, JSCeal scandaglia i browser Chromium-based più diffusi - Google Chrome, Microsoft Edge, Brave, Opera, Vivaldi, Avast Secure Browser e altri - alla ricerca di profili utente, cookie, password e token OAuth. Il malware non si limita a rubare dati: sfrutta i cookie di sessione per ricostruire una sessione attiva e accedere direttamente agli account Google delle vittime, aggirando l'autenticazione a due fattori e i controlli di sicurezza.
Malvertising e attacchi mirati agli investitori crypto
Le campagne di distribuzione, attive almeno dalla fine del 2024, sono state ribattezzate SourTrade da Confiant e colpiscono utenti in 12 paesi e 25 lingue, con particolare intensità in Asia Pacifico e America Latina. Il meccanismo è insidioso: invece di scaricare un malware già pronto, il sito malevolo invia istruzioni al browser della vittima per assemblare il codice dannoso direttamente in memoria, rendendo invisibile il payload alle difese di rete tradizionali.
La sovrapposizione tra SourTrade e le attività di JSCeal è stata confermata anche da Bitdefender, che ha documentato campagne simili nel settembre 2025. Il bersaglio principale sono i trader retail e gli investitori in criptovalute, attratti da promesse di piattaforme di trading innovative e offerte lampo pubblicizzate tramite annunci sponsorizzati.
Funzionalità di sorveglianza e manipolazione del traffico
Oltre al furto di credenziali, JSCeal integra moduli di keylogging e screenshot, monitorando ogni attività della vittima. Ma il vero salto di qualità è nella capacità di installare un proxy locale, generare certificati e modificare in tempo reale le richieste e risposte di servizi specifici come Binance, Bybit e Ledger. Il malware può alterare l'HTML delle pagine, bloccare host, cancellare cookie selezionati e persino registrare i saldi degli account crypto.
Questa sofisticazione tecnica non è isolata. Il panorama delle minacce evolve rapidamente, come dimostrato anche da recenti segnalazioni di falsi positivi e nuove strategie di attacco che sfruttano la fiducia negli strumenti digitali più diffusi.
Analisi e prospettive: la posta in gioco per utenti e aziende
La combinazione di offuscamento avanzato, distribuzione tramite malvertising e attacchi mirati ai browser rende JSCeal una minaccia fuori scala rispetto ai classici infostealer. Gli autori investono risorse per rendere il malware sempre più difficile da analizzare e per ampliare la copertura delle piattaforme colpite. La capacità di bypassare l'autenticazione Google tramite session replay rappresenta un salto di qualità che mette in discussione la sicurezza dei sistemi basati su cookie e sessioni persistenti.
Chi si muove nel mondo del trading online e delle criptovalute deve alzare il livello di attenzione: la fiducia nei brand noti non basta più, e la catena di sicurezza si spezza dove l'anello è più debole - spesso proprio nel browser dell'utente. JSCeal dimostra che la guerra tra attaccanti e difensori si gioca ormai sulla capacità di manipolare i meccanismi di autenticazione e di sfruttare la complessità dei moderni ecosistemi digitali. Ignorare la minaccia significa lasciare la porta spalancata a intrusioni che non si limitano più al furto di dati, ma puntano al controllo totale delle identità digitali.
