El malware JSCeal puede eludir la autenticación de Google utilizando cookies de sesión robadas

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad han de­ta­lla­do el fun­cio­na­mien­to de JS­Ceal, un soft­wa­re ma­li­cio­so avan­za­do de Ja­vaS­cript de V8 com­pi­la­do que cuen­ta con fun­cio­nes para ex­traer cre­den­cia­les, vi­gi­lar y ras­trear trá­fi­co. Los ope­ra­do­res em­plean anun­cios ma­li­cio­sos en pla­ta­for­mas como Fa­ce­book y Goo­gle con si­tios se­ñue­lo de crip­to­mo­ne­das para que las víc­ti­mas des­car­guen ins­ta­la­do­res fal­sos. Asi­mis­mo, otra ope­ra­ción pu­bli­ci­ta­ria ma­li­cio­sa re­la­cio­na­da en­sam­bla el có­di­go ma­li­cio­so di­rec­ta­men­te en la me­mo­ria del na­ve­ga­dor usan­do ar­chi­vos ZIP des­car­ga­dos me­dian­te Po­werShell.

El pro­gra­ma ma­li­cio­so uti­li­za múl­ti­ples téc­ni­cas de ofus­ca­ción para di­fi­cul­tar su aná­li­sis y la in­ge­nie­ría in­ver­sa, trans­for­man­do nom­bres, frag­men­tan­do ca­de­nas de texto pro­te­gi­das con RC4, apla­nan­do el flujo de con­trol y em­plean­do fun­cio­nes au­xi­lia­res. Para con­tra­rres­tar esto, una em­pre­sa de ci­ber­se­gu­ri­dad de­sa­rro­lló un sis­te­ma de desofus­ca­ción es­tá­ti­ca que per­mi­tió exa­mi­nar su có­di­go y des­cu­brir su ca­pa­ci­dad para re­co­pi­lar se­cre­tos, coo­kies, to­kens OAuth y datos de di­ver­sos na­ve­ga­do­res ba­sa­dos en Chro­mium.

Una de las ca­pa­ci­da­des prin­ci­pa­les del pro­gra­ma con­sis­te en apro­ve­char las coo­kies sus­traí­das para re­pro­du­cir se­sio­nes y bur­lar la au­ten­ti­ca­ción en cuen­tas de Goo­gle. Ade­más, in­clu­ye un mó­du­lo de vi­gi­lan­cia que cap­tu­ra pul­sa­cio­nes de te­clas y cap­tu­ras de pan­ta­lla, junto con un sis­te­ma de proxy local capaz de in­ter­cep­tar trá­fi­co y mo­di­fi­car so­li­ci­tu­des o res­pues­tas es­pe­cí­fi­cas, en­fo­cán­do­se en pla­ta­for­mas de crip­to­mo­ne­das para re­gis­trar sal­dos y datos de cuen­tas.