Le malware JSCEAL volant les identifiants pourrait s'être propagé à plus de 10 millions d'utilisateurs

Une nouvelle campagne de malware JSCEAL imite 50 plateformes crypto populaires selon Check Point Research. L'opération utilise des publicités malveillantes pour distribuer de fausses applications ciblant les utilisateurs.

On estime que 10 millions de personnes dans le monde ont été exposées aux attaques. La campagne exploite des fichiers JavaScript compilés pour voler efficacement les portefeuilles de cryptomonnaies et les identifiants.

La campagne de publicités malveillantes atteint 10 millions d'utilisateurs

La campagne JSCEAL a exposé environ 35 000 publicités malveillantes au premier semestre 2025. Elles ont elles-mêmes généré des millions de vues dans l'Union européenne. Check Point Research estime qu'environ 10 millions de personnes ont vu ces publicités dans le monde.

Des contenus malveillants ont été partagés par des acteurs malveillants sur des comptes piratés ou de nouveaux profils. Les publications promues ont aidé à la distribution de fausses publicités sur les réseaux sociaux. Les publicités parlaient principalement de cryptomonnaies, de jetons et de banques.

La campagne a utilisé près de 50 institutions financières différentes avec des applications usurpées. Les acteurs malveillants ont enregistré des noms de domaine selon certaines conventions de nommage pour la redirection. Les domaines de premier niveau contenaient une extension .com conformément à la terminologie correspondante.

Les modèles de domaine comprenaient app, download, desktop, PC et window. Chaque mot était utilisé au singulier ou au pluriel dans les domaines. La combinatoire montre qu'il y a 560 noms de domaine uniques conformes aux règles.

Seulement 15 % des domaines potentiels apparaissaient enregistrés au moment de la publication. Les chaînes de redirection filtraient les cibles en fonction de l'adresse IP et des sources de référents.

Les victimes en dehors des plages souhaitées recevaient des sites web leurres au lieu de contenus malveillants. Les référents Facebook étaient requis pour une redirection réussie vers de fausses pages. Le système de filtrage a aidé les attaquants à éviter la détection tout en atteignant leurs victimes ciblées.

La bibliothèque publicitaire de Meta a fourni des estimations pour la portée des publicités au sein de l'UE. Des calculs conservateurs supposent que chaque publicité a atteint au moins 100 utilisateurs. La portée totale de la campagne a dépassé 3,5 millions au sein des frontières de l'Union européenne.

La portée mondiale pourrait facilement dépasser 10 millions, compte tenu des pays hors UE. Des institutions crypto et financières asiatiques ont également été impersonnées dans les campagnes.

La campagne utilise des tactiques de tromperie sophistiquées pour éviter la détection

La campagne JSCEAL utilise certaines méthodes anti-évasion, résultant en des taux de détection extrêmement faibles. Selon l'analyse de Check Point, le malware est resté indétecté pendant de longues périodes. Ces techniques sophistiquées aident les attaquants à contourner les mesures de sécurité traditionnelles sur plusieurs plateformes.

Les victimes cliquant sur des publicités malveillantes sont redirigées vers de faux sites web ayant l'air légitime. Les faux sites encouragent le téléchargement d'applications malveillantes qui semblent authentiques. Les attaquants conçoivent les sites web pour imiter de près les interfaces des vraies plateformes de cryptomonnaies.

Le malware utilise le fonctionnement simultané du site web et du logiciel d'installation. Cette approche double complique les efforts d'analyse et de détection pour les chercheurs en sécurité. Les composants individuels semblent inoffensifs lorsqu'ils sont examinés séparément, rendant la détection difficile.

Cette tactique de tromperie convainc les victimes qu'elles ont installé un logiciel authentique. Pendant ce temps, le malware fonctionne en arrière-plan, collectant des informations sensibles sans la connaissance des utilisateurs.

La campagne cible spécifiquement les utilisateurs de cryptomonnaies par le biais de tactiques d'usurpation de plateforme. Les attaquants se concentrent sur les applications de trading populaires et les logiciels de portefeuille. Les utilisateurs recherchant des outils crypto légitimes étaient les plus susceptibles d'être touchés par la campagne.

Les chercheurs de Check Point décrivent l'évasion de détection comme hautement efficace. Les logiciels de sécurité traditionnels peinent à identifier les menaces utilisant ces méthodes. La combinaison d'interfaces ayant l'air légitime et de malware caché crée des scénarios dangereux.

Le malware récolte systématiquement les données liées aux cryptos et les identifiants des utilisateurs

L'objectif principal du malware consiste à recueillir des informations sensibles depuis les appareils infectés. Les attaquants collectent des données pour accéder aux comptes de cryptomonnaies et voler des actifs numériques. La récolte d'informations se produit automatiquement sans nécessiter d'interaction ou de conscience de la part de l'utilisateur.

JSCEAL capture les entrées clavier, révélant les mots de passe et les identifiants d'authentification à travers les applications. La fonctionnalité de keylogging enregistre tout ce que les utilisateurs tapent, y compris les mots de passe des portefeuilles crypto. Ils ciblent également les informations des comptes Telegram pour une éventuelle prise de contrôle de compte.

Ils récoltent également les cookies du navigateur montrant les sites web fréquemment visités et les préférences des victimes. Les mots de passe de remplissage automatique stockés dans les navigateurs sont également accessibles aux acteurs de la menace.