Вредоносное ПО JSCEAL, крадущее учетные данные, могло распространиться на более чем 10 миллионов пользователей

Новая кампания вредоносного ПО JSCEAL имитирует 50 популярных криптоплатформ, согласно исследованию Check Point Research. Операция использует вредоносные рекламные объявления для распространения поддельных приложений, нацеленных на пользователей.

По оценкам, 10 миллионов человек по всему миру подверглись атакам. Кампания использует скомпилированные файлы JavaScript для эффективной кражи криптовалютных кошельков и учетных данных. Вредоносная рекламная кампания достигает 10…

Вредоносная рекламная кампания достигает 10 миллионов пользователей

В первой половине 2025 года кампания JSCEAL выявила около 35 000 вредоносных рекламных объявлений. Они сами получили миллионы просмотров в Европейском Союзе. По мнению Check Point Research, около 10 миллионов человек просмотрели эти объявления по всему миру.

Вредоносный материал распространялся злоумышленниками через захваченные аккаунты или новые профили. Продвигаемые посты способствовали распространению фальшивой рекламы в социальных сетях. В рекламе в основном обсуждались криптовалюты, токены и банки.

Кампания проводилась с использованием почти 50 различных финансовых учреждений с поддельными приложениями. Злоумышленники регистрировали доменные имена по определенным шаблонам для перенаправления. Домены верхнего уровня содержали расширение .com в соответствии с соответствующей терминологией.

Шаблоны доменов включали app, download, desktop, PC и window. Каждое слово использовалось как в единственном, так и во множественном числе в доменных именах. Комбинаторика показывает, что существует 560 уникальных доменных имен, соответствующих правилам.

Только 15% потенциальных доменов были зарегистрированы на момент публикации. Цепочки перенаправления фильтровали цели на основе IP-адреса и источников рефереров.

Жертвы, не попавшие в желаемые диапазоны, получали сайты-заглушки вместо вредоносного контента. Для успешного перенаправления на поддельные страницы требовались рефереры с Facebook. Система фильтрации помогала злоумышленникам избегать обнаружения, пока они достигали своих целевых жертв.

Библиотека рекламы Meta предоставила оценки охвата рекламы в пределах ЕС. Консервативные расчеты предполагают, что каждое рекламное объявление достигло минимум 100 пользователей. Общий охват кампании превысил 3,5 миллиона в пределах границ Европейского Союза.

Глобальный охват легко может превысить 10 миллионов, если учесть страны за пределами ЕС. В кампаниях также имитировались азиатские крипто- и финансовые учреждения.

Кампания использует сложные тактики обмана для избежания обнаружения

Кампания JSCEAL использует определенные методы анти-обхода, что приводит к крайне низким показателям обнаружения. Вредоносное ПО оставалось незамеченным в течение длительных периодов времени, согласно анализу Check Point. Эти сложные техники помогают злоумышленникам обходить традиционные меры безопасности на нескольких платформах.

Жертвы, кликающие на вредоносные рекламные объявления, перенаправляются на поддельные сайты, выглядящие легитимно. Поддельные сайты побуждают загружать вредоносные приложения, которые выглядят аутентично. Злоумышленники проектируют сайты так, чтобы они максимально имитировали интерфейсы реальных криптоплатформ.

Вредоносное ПО использует одновременную работу веб-сайта и установочного программного обеспечения. Этот двойной подход усложняет анализ и усилия по обнаружению для исследователей безопасности. Отдельные компоненты выглядят безвредными при рассмотрении по отдельности, что затрудняет обнаружение.

Эта тактика обмана убеждает жертв в том, что они установили аутентичное программное обеспечение. Тем временем вредоносное ПО работает в фоновом режиме, собирая конфиденциальную информацию без ведома пользователей.

Кампания нацелена конкретно на пользователей криптовалют через тактики имитации платформ. Атакующие фокусируются на популярных торговых приложениях и программном обеспечении для кошельков. Пользователи, ищущие легитимные криптоинструменты, были наиболее уязвимы к кампании.

Исследователи Check Point описывают обход обнаружения как высокоэффективный. Традиционное антивирусное программное обеспечение с трудом идентифицирует угрозы, использующие эти методы. Сочетание легитимно выглядящих интерфейсов и скрытого вредоносного ПО создает опасные сценарии.

Вредоносное ПО систематически собирает крипто-данные и учетные данные пользователей

Основная цель вредоносного ПО заключается в сборе конфиденциальной информации с зараженных устройств. Атакующие собирают данные, чтобы получить доступ к криптовалютным аккаунтам и украсть цифровые активы. Сбор информации происходит автоматически, без необходимости взаимодействия или осведомленности пользователя.

JSCEAL перехватывает нажатия клавиш, раскрывая пароли и учетные данные аутентификации в различных приложениях. Функциональность кейлоггинга записывает все, что вводят пользователи, включая пароли криптокошельков. Они также нацеливаются на информацию аккаунтов Telegram для потенциального захвата аккаунтов.

Они также собирают файлы cookie браузера, показывающие часто посещаемые жертвами веб-сайты и предпочтения. Автозаполненные пароли, сохраненные в браузерах, также доступны злоумышленникам.