JSCEAL-Malware, die Anmeldeinformationen stiehlt, könnte sich auf über 10 Millionen Benutzer ausgebreitet haben

Eine neue JSCEAL-Malware-Kampagne imitiert 50 beliebte Krypto-Plattformen, so Check Point Research. Der Betrieb nutzt bösartige Anzeigen, um gefälschte Anwendungen zu verbreiten, die auf Benutzer abzielen.

Schätzungsweise 10 Millionen Menschen weltweit wurden Angriffen ausgesetzt. Die Kampagne nutzt kompilierte JavaScript-Dateien, um Kryptowährungs-Wallets und Anmeldeinformationen effektiv zu stehlen.

Bösartige Anzeigenkampagne erreicht 10 Millionen Benutzer

Die JSCEAL-Kampagne deckte in der ersten Hälfte von 2025 rund 35.000 bösartige Anzeigen auf. Diese selbst erhielten in der Europäischen Union Millionen von Aufrufen. Check Point Research ist der Ansicht, dass weltweit rund 10 Millionen Menschen diese Anzeigen gesehen haben.

Bösartiges Material wurde von übelwollenden Akteuren auf übernommenen Konten oder neuen Profilen geteilt. Geförderte Beiträge halfen bei der Verbreitung gefälschter Anzeigen in den sozialen Medien. Die Anzeigen handelten hauptsächlich von Kryptowährungen, Token und Banken.

Die Kampagne lief mit fast 50 verschiedenen Finanzinstituten mit gespooften Anwendungen. Die bösen Akteure registrierten Domain-Namen nach bestimmten Namenskonventionen für Weiterleitungen. Die Top-Level-Domains enthielten eine .com-Erweiterung entsprechend der entsprechenden Terminologie.

Muster in den Domains umfassten app, download, desktop, PC und window-Versionen. Jedes Wort wurde einzeln oder im Plural in den Domains verwendet. Kombinatorik zeigt, dass es 560 eindeutige Domain-Namen gibt, die den Regeln entsprechen.

Zum Zeitpunkt der Veröffentlichung waren nur 15 % der potenziellen Domains registriert. Weiterleitungsketten filterten Ziele basierend auf IP-Adresse und Referrer-Quellen.

Opfer außerhalb der gewünschten Bereiche erhielten stattdessen Dekoy-Websites statt bösartiger Inhalte. Facebook-Referrer waren für eine erfolgreiche Weiterleitung zu gefälschten Seiten erforderlich. Das Filtersystem half den Angreifern, die Entdeckung zu vermeiden, während sie ihre Zielopfer erreichten.

Die Meta Ad Library lieferte Schätzungen für die Reichweite von Anzeigen innerhalb der EU. Konservative Berechnungen gehen davon aus, dass jede Anzeige mindestens 100 Benutzer erreichte. Die Gesamtreichweite der Kampagne überschritt innerhalb der Grenzen der Europäischen Union 3,5 Millionen.

Die globale Reichweite könnte leicht 10 Millionen überschreiten, wenn man nicht-EU-Länder berücksichtigt. Asiatische Krypto- und Finanzinstitute wurden in den Kampagnen ebenfalls imitiert.

Kampagne nutzt ausgefeilte Täuschungstaktiken, um Entdeckung zu vermeiden

Die JSCEAL-Kampagne verwendet bestimmte Anti-Evasion-Methoden, was zu extrem niedrigen Erkennungsraten führt. Laut Check Point-Analyse blieb die Malware über längere Zeit unentdeckt. Diese ausgefeilten Techniken helfen Angreifern, traditionelle Sicherheitsmaßnahmen auf mehreren Plattformen zu umgehen.

Opfer, die auf bösartige Anzeigen klicken, werden zu seriös aussehenden gefälschten Websites weitergeleitet. Die gefälschten Seiten ermutigen zum Herunterladen bösartiger Anwendungen, die authentisch aussehen. Angreifer gestalten Websites so, dass sie die Schnittstellen echter Krypto-Plattformen genau nachahmen.

Die Malware nutzt den gleichzeitigen Betrieb der Website und der Installationssoftware. Dieser doppelte Ansatz erschwert die Analyse und Erkennungsbemühungen für Sicherheitsexperten. Einzelne Komponenten erscheinen bei separater Prüfung harmlos, was die Erkennung erschwert.

Diese Täuschungstaktik überzeugt Opfer davon, dass sie authentische Software installiert haben. Inzwischen läuft die Malware im Hintergrund und sammelt sensible Informationen ohne Wissen der Benutzer.

Die Kampagne zielt speziell auf Kryptowährungs-Nutzer durch Plattform-Imitationstaktiken ab. Angreifer konzentrieren sich auf beliebte Handelsanwendungen und Wallet-Software. Benutzer, die nach legitimen Krypto-Tools suchten, waren am anfälligsten für die Kampagne.

Check Point-Forscher beschreiben die Erkennungsumgehung als hochwirksam. Traditionelle Sicherheitssoftware hat Schwierigkeiten, Bedrohungen mit diesen Methoden zu identifizieren. Die Kombination aus seriös aussehenden Schnittstellen und versteckter Malware schafft gefährliche Szenarien.

Malware sammelt systematisch kryptobezogene Daten und Benutzeranmeldeinformationen

Der primäre Zweck der Malware besteht darin, sensible Informationen von infizierten Geräten zu sammeln. Angreifer sammeln Daten, um auf Kryptowährungs-Konten zuzugreifen und digitale Vermögenswerte zu stehlen. Die Informationsbeschaffung erfolgt automatisch, ohne dass Benutzerinteraktion oder -wissen erforderlich ist.

JSCEAL erfasst Tastatureingaben und offenbart Passwörter und Authentifizierungsdaten über Anwendungen hinweg. Die Keylogging-Funktionalität zeichnet alles auf, was Benutzer tippen, einschließlich Krypto-Wallet-Passwörter. Sie zielen auch auf Telegramm-Kontoinformationen für potenzielle Kontenübernahmen ab.

Sie sammeln auch Browser-Cookies, die die häufig besuchten Websites und Präferenzen der Opfer zeigen. In Browsern gespeicherte Autocomplete-Passwörter sind auch für Bedrohungsakteure zugänglich.