Zur Verbreitung setzen die Malvertising-Kampagnen auf zwei ZIP-Archive, die über PowerShell nachgeladen werden: eines enthält die Node.js-Laufzeitumgebung, das andere die eigentliche Payload samt Hilfskomponenten.
Check Point entwickelte nach eigenen Angaben eine “vollständig statische Deobfuskations-Pipeline”, um den mit javascript-obfuscator geschützten, kompilierten V8-Bytecode zu dekodieren. Damit legten die Forscher den Ausführungsablauf offen: JSCeal zählt installierte Browser auf, fragt gespeicherte Geheimnisse, Cookies und OAuth-Tokens ab und registriert über “Router”-Funktionen Handler für die gesammelten Daten.
Das Diebstahlmodul zielt auf eine lange Liste Chromium-basierter Browser, darunter Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi und Cốc Cốc. Für jeden Browser springt die Malware in das erwartete Nutzerdatenverzeichnis, listet die vorhandenen Profile auf und extrahiert daraus Cookies und Passwörter. Aus den Cookies lässt sich eine Sitzung nachbauen – ein aktiver Session-Replay-Angriff, mit dem sich die Anmeldung an einem Google-Konto umgehen lässt. Ein zweites eingebettetes Modul protokolliert Tastatureingaben und erstellt Bildschirmaufnahmen.
“Eine bei Banking-Trojanern verbreitete Technik besteht darin, einen lokalen Proxy zu installieren und Webinhalte bei ausgewählten Diensten einzufügen oder zu verändern”, so Check Point. “JSCeal folgt einem ähnlichen Muster: Der wiederhergestellte Code zeigt Proxy-Einrichtung, Zertifikatserzeugung und -installation sowie dienstspezifische Veränderung von Anfragen und Antworten.” Der Proxy beschränke sich nicht auf passives Mitlesen: Eine Konfigurationsfunktion halte separate Überschreibungen für Binance, Bybit und Ledger bereit, dazu allgemeine Handler zum Ersetzen von HTML, Blockieren von Hosts und Löschen ausgewählter Cookies. Mehrere weitere Handler richten sich speziell auf Kryptoplattformen; einer erfasst Kontodaten und protokolliert Kryptoguthaben.
Kürzlich legte die Werbesicherheitsplattform Confiant Details zu einer großen Malvertising-Operation mit dem Namen SourTrade offen, die vertrauenswürdige Handels- und Kryptomarken wie Solana, Luno und TradingView imitiert. Die nachgebauten Portale liefern bösartiges JavaScript aus, das den Browser anweist, die Schadsoftware direkt im Speicher zusammenzusetzen. “Technisch unterscheidet SourTrade sich durch das, was auf der Landingpage passiert”, erklärte Confiant. “Es wird keine fertige Malware verteilt. Stattdessen erhält der Browser des Opfers Bauanweisungen, holt eine unveränderte, legitime Datei von separater Infrastruktur und baut die endgültige Malware im Speicher der Opfermaschine zusammen. Fertige Malware existiert im Netzwerk nie.”
Die Kampagne ist nach Einschätzung von Confiant seit Ende 2024 aktiv und richtet sich in 12 Ländern und 25 Sprachen gegen Privatanleger und Kryptoinvestoren, vorwiegend im Asien-Pazifik-Raum und in Lateinamerika. Hinweise deuten auf Überschneidungen mit einer JSCeal-Kampagne hin, die Bitdefender im September 2025 beschrieb.
“JSCeal kombiniert zwei Formen der Analyse-Erschwerung: ein versionsspezifisches kompiliertes V8-Format und mehrere Schichten JavaScript-Verschleierung, die vor der Kompilierung aufgebracht werden”, sagte die Sicherheitsforscherin Aleksandra “Hasherezade” Doniec. Keine der beiden mache eine Analyse unmöglich, gemeinsam führten sie die Malware aber aus den Arbeitsabläufen heraus, auf die Analysten normalerweise zurückgreifen. Die Autoren investierten demnach gleichermaßen in schwerere Analysierbarkeit und in eine breitere Plattformabdeckung.