JSCeal: il malware che aggira l’autenticazione Google rubando i cookie di sessione

JSCeal è un malware compilato per il motore V8 di JavaScript che combina furto di credenziali, sorveglianza e manipolazione del traffico web. Rilevato per la prima volta da Check Point a luglio 2025, è stato associato a campagne di malvertising che sfruttano falsi siti di trading di criptovalute per ingannare gli utenti e installare il payload direttamente nella memoria del browser. La capacità di ricostruire sessioni Google mediante i cookie rubati rappresenta una nuova frontiera nel bypass dell’autenticazione a più fattori, con impatti potenzialmente devastanti per utenti privati e imprese.

Che cos’è JSCeal e come funziona

JSCeal è un malware scritto in JavaScript compilato per il runtime V8, protetto da javascript‑obfuscator con tecniche quali RC4 per le stringhe, flattening del flusso di controllo e wrapper di operazioni. Check Point ha sviluppato una pipeline di de‑obfuscazione statica per decodificare il bytecode e ricostruire il flusso di esecuzione. Il payload è suddiviso in più moduli:

• Modulo di furto del browser: individua le directory dei profili dei browser basati su Chromium (Chrome, Edge, Brave, Opera, Vivaldi, ecc.) e estrae cookie, password e token OAuth.
• Modulo di replay della sessione: utilizza i cookie rubati per ricreare una sessione valida su Google, aggirando l’autenticazione a due fattori.
• Modulo di sorveglianza: registra keystroke, cattura screenshot e funge da proxy locale per intercettare e modificare richieste verso servizi bancari e di criptovaluta.

Meccanismo di bypass dell’autenticazione Google

Il cuore dell’attacco è la capacità di ricostruire una sessione Google a partire dai cookie di autenticazione. Dopo aver estratto i cookie SID, HSID e i token OAuth, JSCeal li inietta in una nuova istanza del browser, consentendo al malware di accedere a Gmail, Drive e altri servizi senza che l’utente debba inserire nuovamente le credenziali o completare il 2FA. Questo approccio rende inefficaci le difese basate esclusivamente su autenticazione a più fattori, poiché la verifica avviene già a livello di sessione.

Campagna di malvertising SourTrade e vettori di diffusione

La campagna “SourTrade”, identificata da Confiant, distribuisce JSCeal tramite annunci malevoli su Facebook e Google. Gli utenti vengono reindirizzati a portali falsi di exchange e piattaforme di trading (Solana, Luno, TradingView). Invece di scaricare un file eseguibile, il sito fornisce istruzioni JavaScript che, eseguite nel browser, scaricano il runtime Node.js e il payload, assemblandoli interamente in memoria. Questo modello “file‑less” elimina la presenza di file sospetti sul disco, ostacolando le tradizionali soluzioni di endpoint protection basate su firme.

Implicazioni per la difesa e raccomandazioni operative

Le organizzazioni devono rivedere le proprie strategie di difesa per fronteggiare minacce file‑less e basate su sessione:

1. Hardening dei browser: disabilitare la sincronizzazione dei cookie tra profili, limitare l’accesso alle directory dei dati utente e utilizzare soluzioni di browser isolation.
2. Monitoraggio delle attività di rete: implementare proxy di sicurezza capaci di analizzare il traffico TLS in tempo reale e rilevare pattern di modifica delle richieste verso API di Google o exchange di criptovaluta.
3. Controllo delle credenziali in memoria: adottare soluzioni EDR/UEBA che possano identificare la creazione di sessioni browser non autorizzate o l’iniezione di cookie sospetti.
4. Formazione degli utenti: sensibilizzare su malvertising e su come riconoscere landing page falsi, soprattutto in ambito di trading e criptovalute.

In sintesi, JSCeal dimostra come la combinazione di obfuscazione avanzata, esecuzione in memoria e furto di credenziali possa superare le difese tradizionali. Le imprese devono adottare un approccio di difesa a più livelli, includendo la protezione delle sessioni, il monitoraggio del comportamento dei browser e la formazione continua degli utenti per mitigare il rischio.