Malware JSCeal: Nova Ameaça Ignora Autenticação do Google e Ataca Plataformas Financeiras

O malware JSCeal é um infostealer sofisticado, compilado em V8 JavaScript, que se especializa em roubo de credenciais, vigilância e interceptação de tráfego. Ele mira usuários por meio de instaladores falsos do TradingView, promovidos em anúncios maliciosos no Facebook e Google. Sua capacidade de contornar a autenticação do Google, reativando sessões com cookies roubados, representa um vetor de ataque perigoso contra defesas amplamente confiadas.

Este malware emprega ofuscação avançada para evitar detecção e análise, utilizando técnicas como strings protegidas por RC4 e o achatamento do fluxo de controle. A operação malvertising SourTrade, que se sobrepõe a campanhas do JSCeal, é particularmente notável por não distribuir malware finalizado. Em vez disso, ela entrega instruções ao navegador da vítima para construir o malware diretamente na memória, complicando a detecção por soluções de segurança tradicionais baseadas em arquivos. O JSCeal não só rouba dados de uma vasta lista de navegadores baseados em Chromium, mas também estabelece um proxy local para manipular o tráfego de serviços financeiros como Binance, Bybit e Ledger, expondo diretamente os ativos digitais dos usuários.

O JSCeal mostra uma evolução contínua desde que foi documentado pela Check Point em julho de 2025. Inicialmente identificado como uma ameaça focada em roubo de credenciais, o malware agora demonstra maior sofisticação em suas técnicas de distribuição e evasão. A emergência da campanha SourTrade, ativa desde o final de 2024 e que agora se sabe sobrepor-se ao JSCeal, indica que os operadores estão investindo pesadamente em métodos de entrega mais furtivos, como a montagem de malware em memória. Isso é um salto de complexidade comparado a métodos de distribuição de executáveis diretos, mostrando um desenvolvimento ativo e um esforço para expandir sua cobertura e eficácia.

O JSCeal é uma ameaça séria porque mina a confiança em mecanismos de segurança fundamentais. Ao ignorar a autenticação do Google por meio de roubo de cookies, ele compromete diretamente a segurança de contas que muitos consideram bem protegidas. Sua focalização em plataformas financeiras, combinada com a capacidade de interceptar e manipular transações, coloca em risco direto os ativos e a privacidade financeira dos usuários. Para as empresas, especialmente as do setor financeiro, a existência de um malware tão furtivo e direcionado exige uma revisão constante das estratégias de detecção de fraude e proteção de contas, além de alertar sobre os perigos da malvertising.