Malware JSCEAL roubando credenciais pode ter se espalhado para mais de 10 milhões de usuários

Uma nova campanha de malware JSCEAL imita 50 plataformas cripto populares, de acordo com a Check Point Research. A operação usa anúncios maliciosos para distribuir aplicativos falsos direcionados aos usuários.

Estima-se que 10 milhões de pessoas em todo o mundo tenham sido expostas a ataques. A campanha aproveita arquivos JavaScript compilados para roubar carteiras de criptomoedas e credenciais de forma eficaz.

Campanha de anúncio malicioso atinge 10 milhões de usuários

A campanha JSCEAL expôs cerca de 35.000 anúncios maliciosos no primeiro semestre de 2025. Eles próprios ganharam milhões de visualizações na União Europeia. A Check Point Research acredita que cerca de 10 milhões de pessoas visualizaram esses anúncios em todo o mundo.

Material malicioso foi compartilhado por atores mal-intencionados em contas sequestradas ou perfis novos. Posts promovidos ajudaram na distribuição de anúncios falsos nas redes sociais. Os anúncios discutiam principalmente criptomoedas, tokens e bancos.

A campanha foi executada usando quase 50 instituições financeiras diversas com aplicativos falsificados. Os atores mal-intencionados registraram nomes de domínio sob algumas convenções de nomenclatura para redirecionamento. Os domínios de nível superior continham uma extensão .com de acordo com a terminologia correspondente.

Os padrões no domínio incluíam app, download, desktop, PC e versões de janela. Cada palavra era usada individualmente ou no plural nos domínios. A combinatorics mostram que existem 560 nomes de domínio exclusivos que estão em conformidade com as regras.

Apenas 15% dos domínios potenciais apareceram registrados no momento da publicação. As cadeias de redirecionamento filtravam os destinos com base no endereço IP e nas fontes de referência.

Vítimas fora das faixas desejadas recebiam sites falsos em vez de conteúdo malicioso. Os referenciadores do Facebook eram necessários para o redirecionamento bem-sucedido para páginas falsas. O sistema de filtragem ajudou os atacantes a evitar a detecção enquanto alcançavam suas vítimas-alvo.

A Ad Library da Meta forneceu estimativas para o alcance dos anúncios dentro da UE. Cálculos conservadores assumem que cada anúncio alcançou no mínimo 100 usuários. O alcance total da campanha excedeu 3,5 milhões dentro das fronteiras da União Europeia.

O alcance global poderia facilmente exceder 10 milhões, considerando países fora da UE. Instituições cripto e financeiras asiáticas também foram falsificadas nas campanhas.

A campanha usa táticas de engano sofisticadas para evitar a detecção

A campanha JSCEAL usa certos métodos anti-desvio, resultando em taxas de detecção extremamente baixas. O malware permaneceu indetectável por longos períodos, de acordo com a análise da Check Point. Essas técnicas sofisticadas ajudam os atacantes a contornar as medidas de segurança tradicionais em várias plataformas.

As vítimas que clicam em anúncios maliciosos são direcionadas a sites falsos com aparência legítima. Os sites falsos incentivam o download de aplicativos maliciosos que parecem autênticos. Os atacantes projetam os sites para imitar de perto as interfaces reais das plataformas de criptomoedas.

O malware usa a operação simultânea do site e do software de instalação. Essa abordagem dupla complica os esforços de análise e detecção para pesquisadores de segurança. Componentes individuais parecem inofensivos quando examinados separadamente, tornando a detecção desafiadora.

Essa tática de engano convence as vítimas de que instalaram software autêntico. Enquanto isso, o malware opera em segundo plano, coletando informações sensíveis sem o conhecimento dos usuários.

A campanha direciona-se especificamente aos usuários de criptomoedas por meio de táticas de falsificação de plataforma. Os atacantes concentram-se em aplicativos de negociação populares e software de carteira. Os usuários que buscavam ferramentas cripto legítimas eram os mais suscetíveis à campanha.

Os pesquisadores da Check Point descrevem a evasão de detecção como altamente eficaz. O software de segurança tradicional tem dificuldade em identificar ameaças usando esses métodos. A combinação de interfaces com aparência legítima e malware oculto cria cenários perigosos.

O malware colhe dados relacionados a criptomoedas e credenciais de usuário sistematicamente

O principal propósito do malware envolve reunir informações sensíveis de dispositivos infectados. Os atacantes coletam dados para acessar contas de criptomoedas e roubar ativos digitais. A coleta de informações ocorre automaticamente sem exigir interação ou consciência do usuário.

O JSCEAL captura entradas de teclado, revelando senhas e credenciais de autenticação em aplicativos. A funcionalidade de keylogging registra tudo o que os usuários digitam, incluindo senhas de carteiras de criptomoedas. Eles também visam informações de contas do Telegram para possível tomada de conta.

Eles também colhem cookies do navegador mostrando os sites frequentemente visitados pelas vítimas e suas preferências. Senhas de preenchimento automático armazenadas nos navegadores também estão acessíveis aos atores de ameaças.