El malware JSCEAL que roba credenciales puede haberse extendido a más de 10 millones de usuarios
- La campaña de malware JSCEAL supuestamente imita plataformas de criptomonedas mediante anuncios maliciosos dirigidos a usuarios
- Check Point Research estima que 10 millones de personas en todo el mundo están expuestas a los ataques de esta campaña
- El malware JavaScript compilado roba carteras de criptomonedas y credenciales a través de aplicaciones falsas
Una nueva campaña de malware JSCEAL imita a 50 plataformas de criptomonedas populares según Check Point Research. La operación utiliza anuncios maliciosos para distribuir aplicaciones falsas dirigidas a los usuarios.
Se estima que 10 millones de personas en todo el mundo han estado expuestas a ataques. La campaña aprovecha archivos JavaScript compilados para robar billeteras de criptomonedas y credenciales de manera efectiva.
La campaña de anuncios maliciosos alcanza a 10 millones de usuarios
La campaña JSCEAL expuso alrededor de 35.000 anuncios maliciosos en la primera mitad de 2025. Ellos mismos obtuvieron millones de vistas en la Unión Europea. Check Point Research considera que alrededor de 10 millones de personas vieron estos anuncios en todo el mundo.
El material malicioso fue compartido por actores malintencionados en cuentas secuestradas o perfiles nuevos. Las publicaciones promocionadas ayudaron a la distribución de anuncios falsos en las redes sociales. Los anuncios trataban principalmente sobre criptomonedas, tokens y bancos.
La campaña se ejecutó utilizando casi 50 instituciones financieras diversas con aplicaciones suplantadas. Los malos actores registraron nombres de dominio bajo algunas convenciones de nomenclatura para la redirección. Los dominios de nivel superior contenían una extensión .com de acuerdo con la terminología correspondiente.
Los patrones en el dominio incluían app, download, desktop, PC y versiones de window. Cada palabra se usaba individualmente o en plural en los dominios. La combinatoria muestra que hay 560 nombres de dominio únicos que cumplen con las reglas.
Solo el 15 % de los dominios potenciales aparecían registrados en el momento de la publicación. Las cadenas de redirección filtraban a los objetivos en función de la dirección IP y las fuentes de referencia.
Las víctimas fuera de los rangos deseados recibían sitios web señuelo en lugar de contenido malicioso. Se requerían referrers de Facebook para una redirección exitosa a páginas falsas. El sistema de filtrado ayudó a los atacantes a evitar la detección mientras alcanzaban a sus víctimas objetivo.
La Biblioteca de Anuncios de Meta proporcionó estimaciones para el alcance de los anuncios dentro de la UE. Los cálculos conservadores asumen que cada anuncio alcanzó a un mínimo de 100 usuarios. El alcance total de la campaña superó los 3,5 millones dentro de las fronteras de la Unión Europea.
El alcance global podría fácilmente superar los 10 millones, considerando los países fuera de la UE. Las instituciones cripto y financieras asiáticas también fueron suplantadas en las campañas.
La campaña utiliza tácticas de engaño sofisticadas para evitar la detección
La campaña JSCEAL utiliza ciertos métodos anti-evasión, lo que resulta en tasas de detección extremadamente bajas. El malware permaneció indetectable durante períodos prolongados, según el análisis de Check Point. Estas técnicas sofisticadas ayudan a los atacantes a eludir las medidas de seguridad tradicionales en múltiples plataformas.
Las víctimas que hacen clic en anuncios maliciosos son dirigidas a sitios web falsos que parecen legítimos. Los sitios falsos fomentan la descarga de aplicaciones maliciosas que parecen auténticas. Los atacantes diseñan sitios web para imitar de cerca las interfaces de las plataformas de criptomonedas reales.
El malware utiliza la operación simultánea del sitio web y el software de instalación. Este enfoque dual complica los esfuerzos de análisis y detección para los investigadores de seguridad. Los componentes individuales parecen inofensivos cuando se examinan por separado, lo que dificulta la detección.
Esta táctica de engaño convence a las víctimas de que instalaron software auténtico. Mientras tanto, el malware opera en segundo plano, recopilando información sensible sin el conocimiento de los usuarios.
La campaña se dirige específicamente a los usuarios de criptomonedas a través de tácticas de suplantación de identidad de plataformas. Los atacantes se centran en aplicaciones de trading populares y software de billeteras. Los usuarios que buscaban herramientas cripto legítimas eran los más susceptibles a la campaña.
Los investigadores de Check Point describen la evasión de detección como altamente efectiva. El software de seguridad tradicional tiene dificultades para identificar amenazas utilizando estos métodos. La combinación de interfaces que parecen legítimas y malware oculto crea escenarios peligrosos.
El malware recopila sistemáticamente datos relacionados con criptomonedas y credenciales de usuario
El propósito principal del malware implica recopilar información sensible de los dispositivos infectados. Los atacantes recopilan datos para acceder a cuentas de criptomonedas y robar activos digitales. La recopilación de información ocurre automáticamente sin requerir interacción o conocimiento del usuario.
JSCEAL captura las entradas del teclado, revelando contraseñas y credenciales de autenticación en las aplicaciones. La funcionalidad de keylogging registra todo lo que los usuarios escriben, incluidas las contraseñas de billeteras de criptomonedas. También tienen como objetivo la información de las cuentas de Telegram para una posible toma de cuentas.
También recopilan cookies del navegador que muestran los sitios web frecuentemente visitados y las preferencias de las víctimas. Las contraseñas de autocompletar almacenadas en los navegadores también son accesibles para los actores de amenazas.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Vignesh Karunanidhi
Vignesh es escritor de contenido cripto, periodista cripto, editor de contenido y gestor de redes sociales. Ha trabajado con Watcher.guru, BeInCrypto, CoinGape, Milkroad y Airdrops durante más de 6 años. Sus habilidades para cubrir noticias de tecnología, robótica, negocios e inteligencia artificial se perfeccionaron gracias a una maestría en Comercio.
