Il malware JSCEAL che ruba le credenziali potrebbe essersi diffuso a oltre 10 milioni di utenti

Una nuova campagna di malware JSCEAL imita 50 popolari piattaforme di criptovalute secondo Check Point Research. L'operazione utilizza annunci malevoli per distribuire applicazioni false che prendono di mira gli utenti.

Si stima che 10 milioni di persone in tutto il mondo siano state esposte ad attacchi. La campagna sfrutta file JavaScript compilati per rubare in modo efficace portafogli di criptovalute e credenziali.

La campagna di annunci malevoli raggiunge 10 milioni di utenti

La campagna JSCEAL ha esposto circa 35.000 annunci malevoli nella prima metà del 2025. Hanno essi stessi raccolto milioni di visualizzazioni nell'Unione Europea. Check Point Research ritiene che circa 10 milioni di persone abbiano visualizzato questi annunci in tutto il mondo.

Il materiale malevolo è stato condiviso da attori malintenzionati su account dirottati o profili nuovi. I post promossi hanno aiutato nella distribuzione di annunci falsi sui social media. Gli annunci discutevano principalmente di criptovalute, token e banche.

La campagna è stata eseguita utilizzando quasi 50 diverse istituzioni finanziarie con applicazioni spoofate. I cattivi attori hanno registrato nomi di dominio secondo alcune convenzioni di denominazione per il reindirizzamento. I domini di primo livello contenevano un'estensione .com in conformità con la terminologia corrispondente.

I pattern nei domini includevano app, download, desktop, PC e versioni per window. Ogni parola è stata utilizzata singolarmente o al plurale nei domini. La combinatoria mostra che ci sono 560 nomi di dominio unici che sono conformi alle regole.

Solo il 15% dei domini potenziali è apparito registrato al momento della pubblicazione. Le catene di reindirizzamento hanno filtrato i target in base all'indirizzo IP e alle fonti di referrer.

Le vittime al di fuori degli intervalli desiderati hanno ricevuto siti web fantoccio invece di contenuti malevoli. I referrer di Facebook erano richiesti per un reindirizzamento riuscito verso pagine false. Il sistema di filtraggio ha aiutato gli attaccanti a evitare il rilevamento mentre raggiungevano le loro vittime target.

La Ad Library di Meta ha fornito stime per la portata degli annunci all'interno dell'UE. Calcoli conservativi assumono che ogni annuncio abbia raggiunto almeno 100 utenti. La portata totale della campagna ha superato i 3,5 milioni all'interno dei confini dell'Unione Europea.

La portata globale potrebbe facilmente superare i 10 milioni, considerando i paesi non UE. Istituzioni finanziarie e di criptovalute asiatiche sono state anche impersonate nelle campagne.

La campagna utilizza sofisticate tattiche di inganno per evitare il rilevamento

La campagna JSCEAL utilizza determinati metodi anti-evasione, risultando in tassi di rilevamento estremamente bassi. Il malware è rimasto non rilevato per periodi prolungati, secondo l'analisi di Check Point. Queste tecniche sofisticate aiutano gli attaccanti a bypassare le misure di sicurezza tradizionali su più piattaforme.

Le vittime che fanno clic sugli annunci malevoli vengono reindirizzate a siti web falsi dall'aspetto legittimo. I siti falsi incoraggiano il download di applicazioni malevole che appaiono autentiche. Gli attaccanti progettano i siti web per imitare da vicino le interfacce delle vere piattaforme di criptovalute.

Il malware utilizza l'operazione simultanea del sito web e del software di installazione. Questo approccio duplice complica gli sforzi di analisi e rilevamento per i ricercatori di sicurezza. I singoli componenti appaiono innocui quando esaminati separatamente, rendendo difficile il rilevamento.

Questa tattica di inganno convince le vittime che hanno installato software autentico. Nel frattempo, il malware opera in background, raccogliendo informazioni sensibili senza la conoscenza degli utenti.

La campagna prende di mira specificamente gli utenti di criptovalute attraverso tattiche di impersonificazione della piattaforma. Gli attaccanti si concentrano su popolari applicazioni di trading e software di portafoglio. Gli utenti alla ricerca di strumenti crittografici legittimi erano i più suscettibili alla campagna.

I ricercatori di Check Point descrivono l'evasione del rilevamento come altamente efficace. Il software di sicurezza tradizionale fatica a identificare le minacce utilizzando questi metodi. La combinazione di interfacce dall'aspetto legittimo e malware nascosto crea scenari pericolosi.

Il malware raccoglie sistematicamente dati correlati alle criptovalute e credenziali utente

Lo scopo principale del malware consiste nel raccogliere informazioni sensibili dai dispositivi infetti. Gli attaccanti raccolgono dati per accedere agli account di criptovalute e rubare le attività digitali. La raccolta di informazioni avviene automaticamente senza richiedere interazione o consapevolezza dell'utente.

JSCEAL cattura gli input della tastiera, rivelando password e credenziali di autenticazione attraverso le applicazioni. La funzionalità di keylogging registra tutto ciò che gli utenti digitano, incluse le password dei portafogli crypto. Prendono anche di mira le informazioni degli account Telegram per un potenziale takeover dell'account.

Raccogliono anche i cookie del browser che mostrano i siti web frequentemente visitati dalle vittime e le loro preferenze. Le password di autocompletamento memorizzate nei browser sono anche accessibili agli attori delle minacce.