Троян JSCeal крадет браузерные сессии и обходит MFA: эксперты прогнозируют рост подобных атак

Исследователи расшифровали новый вредонос JSCeal, предназначенный для слежки, изменения веб-трафика, а также кражи данных учетных записей и браузера. ПО, используемое злоумышленниками, работает на базе скомпилированного V8 JavaScript. Об этом сообщили The Hacker News.

Вредонос, по информации издания, распространяется через рекламу в соцсетях и Google, перенаправляющую пользователей на поддельные сайты криптовалютной торговли, имитирующие легитимные сервисы. Пользователям предлагается скачать фальшивый установщик TradingView, который и развертывает вредонос на устройстве.

В исследовании отмечалось, что JSCeal умеет определять установленные браузеры, извлекать из них сохраненные пароли и красть cookies. Также вредонос способен записывать нажатия клавиш, делать скриншоты и получать OAuth-токены и другие сохраненные данные. Модуль кражи данных ориентирован на Chromium-браузеры, к которым относятся Chrome, Edge, Brave, Opera GX, Avast Secure Browser и другие.

Кроме того, троян использует данные cookie для восстановления сеанса браузера и проведения активных атак против повторных воспроизведений сеансов. Это позволяет JSCeal обходить аутентификацию и получать доступ к Google-аккаунту жертв. Исследователи сравнили методы вредоносного ПО с методами банковских троянов, которые устанавливают локальный прокси-сервер на устройстве и внедряют/изменяют веб-контент выбранных сервисов.

JSCeal работает подобным образом: восстановленный код демонстрирует возможность настройки прокси-сервера, генерацию и установку сертификатов и модификацию запросов и ответов. Причем сам троян пытается быть незамеченным самыми разнообразными способами. Например, он заменяет имена функций и переменных короткими и бессмысленными идентификаторами, разбивает важные строки на части, кодирует их и защищает при помощи RC4, а позже восстанавливает их с помощью декодеров.

Троян был впервые описан в июле 2025 года, однако связанные с ним хакерские кампании продолжаются. Атаки, связанные с JSCeal, показывают, что злоумышленники постепенно модернизируют вредонос, расширяя охват платформ.

Что из себя представляет троян

Архитектор департамента «Информационная безопасность» компании «Рексофт» Даниил Левченко отметил: пусть кампания JSCeal изначально нацелена на криптосообщество, российские пользователи находятся с другими наравне, поскольку вредонос распространяется через глобальную рекламную сеть. По информации эксперта, только по Европе зафиксировано более 35 тысяч вредоносных объявлений.

Собеседник выделил, что троян крадет не только криптокошельки, но и файлы-cookie, OAuth-токены и данные автозаполнения из всех популярных браузеров. При этом восстановление сессии позволяет обходить двухфакторную аутентификацию. По мнению Левченко, примечателен факт, что для подписи установщиков вредонос использует российские цифровые сертификаты. Тем не менее, собеседник SecPost отметил, что это больше тактический прием злоумышленников, а не признак целевого характера атак против России.

Руководитель отдела по ИБ Axiom JDK Дмитрий Карасовский указал, что JSCeal демонстрирует качественно новый уровень угрозы по нескольким причинам. Во-первых, вместо привычного исполняемого файла (.exe) троян использует скомпилированный байт-код V8 и запускается через среду Node.js. Это, по мнению эксперта, делает анализ вредоноса крайне затруднительным для традиционных антивирусов.

Во-вторых, собеседник отметил, что JSCeal не просто крадет пароли, но и восстанавливает сессионные cookie для обхода многофакторной аутентификации. Это, по мнению Карасовского, позволяет злоумышленникам проникнуть во множество других сервисов, которые используют Google для входа. В-третьих, эксперт указал, что рассматриваемый вредонос не узкоспециализирован и представлен полнофункциональным шпионским инструментом, который перехватывает нажатия клавиш, делает скриншоты и перехватывает данные из мессенджеров.

Перспективы подобных угроз

По мнению старшего партнера IT-интегратора «Энсайн» Алексея Постригайло, таких вредоносов будет становиться только больше, поскольку браузеры все чаще используются в привычной работе. Для атакующих же, как выделил эксперт, в браузерах содержатся самые ценные данные, например, сохраненные данные для входа и активный доступ к сервисам. Постригайло подчеркнул, что в некоторых случаях злоумышленникам даже не нужен пароль: достаточно лишь перехватить данные уже открытой сессии и попытаться войти в нее от имени пользователя.

«Браузер уже стал одной из главных точек атаки, так как через него сотрудники заходят в почту и корпоративные системы, там же работают облачные сервисы, поэтому интерес атакующих вполне понятен», — объяснил собеседник редакции.

Также эксперт подчеркнул: получив доступ к браузеру, хакер сможет добраться сразу до нескольких рабочих сервисов одного человека.

Постригайло выделил, что для компаний все это означает, что одной защиты входа недостаточно, поэтому необходимо обращать внимание и на безопасность самого рабочего компьютера и на то, как долго пользователь остается авторизован в системе. «Если вредонос уже работает на устройстве и получил данные из браузера, дополнительная проверка при входе может просто не успеть помочь. Поэтому я бы ожидал, что такие атаки будут развиваться дальше, хотя сами вредоносы и способы заражения будут постоянно меняться», — прогнозирует эксперт.

Эксперт по информационной безопасности «Инфосистемы Джет» Даниил Кирьяков также отметил, что предпосылки, что такие вредоносы станут распространеннее в будущем, в самом деле существуют. Собеседник отметил, что подобные трояны все больше становятся популярны у хакеров: «Стилеры становятся все более привлекательным инструментом для злоумышленников, потому что позволяют украсть не только пароль, а фактически целый цифровой профиль пользователя: cookies, токены, сохраненные учетные данные и активные сессии».

CheckPoint нашла браузерный вирус-вымогатель — он обходит антивирусы через легитимный доступ к файлам

Кирьяков сходится с Постригайло во мнении, что браузер, а точнее информация, хранящаяся в нем, становится одной из ключевых целей злоумышленников, поскольку все больше корпоративных и пользовательских сервисов работают через него. Собеседник указал, что преступникам все чаще выгоднее не «брутить учетные данные», а красть авторизованную сессию, что подтверждается кейсом JSCeal.

«В дальнейшем можно ожидать сохранение данной тенденции атак на цифровые профили пользователей», — заключил эксперт.

Помимо этого ведущий инженер-аналитик Аналитического центра кибербезопасности компании «Газинформсервис» Максим Федосенко указал, что в современных реалиях такой вектор атаки приобрел «критическую остроту»: из-за санкций и тотальной зачистки российских банковских приложений финансовый сектор был вынужден мигрировать в «веб-интерфейсы», по типу PWA, Progressive Web Apps и др. В результате этого, как выделил собеседник, «окошко браузера» на смартфоне стало не только возможностью использовать банки без постоянного входа через сложные составляющие MFA, но и оказалось прямым шлюзом к банковским счетам пользователя.

Карасовский из Axiom JDK уточнил, что, согласно отчетам, уже сегодня каждый восьмой образец вредоносного ПО нацелен на кражу браузерных данных, что делает кражу учетных данных одним из самых распространенных методов атак. Собеседник также привел статистику: более 68% компаний сообщают о росте числа атак, основанных на браузерах. Также Карасовский указал, что почти в половине (44%) расследованных инцидентов браузер был ключевым проводником для действий хакеров, а в отчетах ведущих компаний браузер называют «новым полем боя».

Эксперт рекомендует использовать аппаратные ключи безопасности для двухфакторной аутентификации вместо SMS и кодов из приложений, поскольку их сложнее перехватить. Карасовский, помимо этого, подчеркнул, что регулярная проверка списка активных сессий в своих аккаунтах и установка программ только с официальных сайтов разработчиков также снизят вероятность попасть под атаку.