LONDON (IT BOLTWISE) – Die neu analysierte V8-basierte Malware JSCeal kann über gestohlene Session-Cookies eine bestehende Google-Authentifizierung nachbauen und so unbefugten Zugriff ermöglichen. Verantwortlich sind Kampagnen, die Nutzer über Facebook- und Google-Anzeigen auf gefälschte Krypto-Handelsseiten lenken und den Einstieg über manipulierte Installationsroutinen auslösen. Technisch arbeitet die Schadsoftware mit stark obfuskiertem JavaScript, das im Browser in den Speicher hineinbaut statt fertige Payloads direkt zu übertragen. Zusätzlich enthalten die Module Funktionen für Browser-Überwachung, darunter Tastatureingaben und Screenshots.
Im Browser wird selten so viel „Identitätsarbeit“ erledigt wie bei JSCeal: Die Malware zielt nicht nur auf das Auslesen von Daten, sondern rekonstruiert damit auch eine laufende Authentifizierung, um Schutzmechanismen bei Google auszuhebeln. Das Grundprinzip ist dabei vergleichsweise klar: Wenn Session-Cookies im Browser erbeutet werden, lässt sich häufig eine bestehende, bereits verifizierte Login-Sitzung wiederherstellen. Genau darauf baut JSCeal auf, die von Security-Forschern als eine in V8 (JSC) kompilierte JavaScript-Schadsoftware beschrieben wurde. Im Fokus stehen Credential Harvesting, Überwachung und Traffic-Interception, also eine Kombination aus Datendiebstahl und aktiver Manipulation des Datenflusses zwischen Browser und Ziel-Webdiensten.
Angriffe dieser Art laufen in der Praxis meistens als Kette aus mehreren Teilkampagnen. Laut den vorliegenden Analysen wird JSCeal unter anderem über Malvertising verteilt: Nutzer werden über bösartige Anzeigen auf gefälschte Krypto-Handelsseiten umgeleitet. Dort erhalten sie Anweisungen, vermeintliche Installer für TradingView herunterzuladen; genau dieser Schritt führt dann zur Auslieferung der Malware. Die Kampagne wurde zunächst im Juli 2025 beschrieben und dabei auch in einen breiteren Kontext gestellt: Nutzer sollen in eine Falle aus täuschenden Kryptowährungsseiten geraten, während die anschließende Schadenslogik dann Credendial- und Browserdaten ausleitet. Gleichzeitig gibt es Überschneidungen zu einem Cluster, das unter den Namen WEEVILPROXY und MeadowLocust geführt wird, was auf wiederkehrende Muster in der Infrastruktur und im Werkzeugbau hindeutet.
Für die technische Umsetzung ist besonders auffällig, wie stark die Komponenten gegen Analyse abgesichert sind. JSCeal nutzt dafür den Einsatz von javascript-obfuscator, ergänzt durch mehrere Schutztechniken. Dazu gehören RC4-geschützte Zeichenketten, Control-Flow Flattening sowie das Ersetzen von Funktions- und Variablennamen durch kurze oder unsinnige Bezeichner. Außerdem werden relevante Strings in Fragmente zerlegt, später rekonstruiert und über Decoder-Funktionen wieder zusammengeführt. Control-Flow Flattening verwandelt dabei den eigentlichen Programmfluss in eine flache Struktur, etwa über einen switch-Block, der von einer Zustandsvariable und einer Endlosschleife gesteuert wird. Ergebnis: Reverse Engineering wird nicht unmöglich, aber deutlich unzuverlässiger, weil die üblichen Muster und Kontrollflüsse in dynamisch verschachtelte Zustandsmaschinen „übersetzt“ werden. Zusätzlich laufen Funktionsaufrufe häufig über Proxy-Helper, und selbst einfache Operationen wie Addition oder Vergleich werden in eigene Hilfsfunktionen verpackt, sodass statische Signaturen weniger direkt greifen.
Ein zweiter Hebel betrifft die Art, wie Schadcode verteilt wird. In getrennten Beobachtungen zu einer groß angelegten Malvertising-Kampagne mit dem Namen SourTrade wird beschrieben, dass dort nicht die fertige Malware übertragen wird. Stattdessen liefert die Landing Page eine Art Assemblierungsanleitung an den Browser, holt dann über separate Infrastruktur eine scheinbar „saubere“ Datei und bringt den Browser dazu, den endgültigen Schadcode im Speicher zu bauen. In diesem Modell existiert die fertige Malware zu keinem Zeitpunkt als klassisches Download-Artifact im Netzwerkpfad. Dass JSCeal in seiner Analyse ebenfalls in einem Umfeld auftaucht, das solche In-Memory-Bauprinzipien nutzt, passt zu einem klaren Motiv: Je weniger „fertiger“ Code durchs Netz wandert, desto geringer ist die Chance, dass klassische Download- oder Dateibasierten Erkennungsmuster früh greifen.
Der wichtigste operative Teil von JSCeal ist die Cookie-basierte Umgehung von Authentifizierung. Das Browser-Diebstahlmodul richtet sich gegen eine breite Liste Chromium-basierter Browser, darunter Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi sowie weitere Varianten. Für jedes Ziel navigiert die Malware in das erwartete User-Data-Verzeichnis, listet verfügbare Profile auf und extrahiert daraus Cookies und Passwörter. Anschließend nutzt sie die gestohlenen Cookie-Daten, um eine Browser-Sitzung zu rekonstruieren und aktive Session-Replay-Angriffe durchzuführen. Genau in diesem Moment wird aus „Datendiebstahl“ ein Authentifizierungsangriff: Wenn die Sitzungsdaten gültig sind, kann der Angreifer den Zustand der Sitzung wiederherstellen und unberechtigt auf ein Google-Konto zugreifen. Ergänzend enthält JSCeal ein Überwachungsmodul, das Tastatureingaben aufzeichnet und Screenshots anfertigt, womit die Kampagne sowohl Zugang als auch fortlaufende Informationsgewinnung abdeckt.
Auch das Thema Traffic-Interception ist bei JSCeal nicht nur als passives Mitlesen gedacht. Wie in den technischen Reports beschrieben, enthält die Malware Routinen, die lokale Proxys einrichten, Zertifikate erzeugen und installieren und anschließend service-spezifische Requests sowie Responses modifizieren. Damit folgt sie einem Muster, das man eher von Banking-Trojanern kennt: Inhalte werden je nach Ziel-Service umgebaut, Hosts werden blockiert oder ausgewählte Cookies werden bereinigt, um die Wirkung der manipulierten Kommunikation zu verstärken. Laut den Analysen werden dafür unterschiedliche Konfigurationen und Handler vorgesehen, unter anderem mit spezifischen Overrides für Krypto-Plattformen; daneben existieren generische Mechanismen, die HTML ersetzen, Hosts blockieren und Cookies zielgerichtet löschen. Ein weiterer Handler kann zudem Kontodaten erfassen und Krypto-Balances protokollieren. So entsteht eine Angriffslogik, die gleichzeitig die eigene Sicht auf den Datenfluss verbessert und die Handlungen des Opfers im Webkontext gezielt verzerrt.
Für Sicherheitsteams ist dabei nicht nur die Payload relevant, sondern auch die Art, wie Analysearbeit erschwert wird. JSCeal kombiniert laut der Einschätzung von Sicherheitsexperten eine version-spezifische, kompilierte V8-Formatdarstellung mit mehreren Ebenen JavaScript-Obfuskation vor der Kompilierung. Weder die V8-spezifische Kompilierung noch die Obfuskation allein seien „unrückgängig“; zusammen aber schieben sie die Schadsoftware aus genau jenen Workflows heraus, auf die Analysten in der Regel setzen. Eine weitere Facette ist die Geschwindigkeit, mit der solche Kampagnen weiterentwickelt werden: Da die Kampagnenaktivität über mehrere Monate beobachtet wurde und Updates in der Ausführung plausibel sind, wirkt JSCeal nicht wie ein einmaliger Release, sondern wie ein Baustellenprojekt mit fortlaufender Erweiterung der Plattformabdeckung und der Schutzmechanismen. Für Unternehmen bedeutet das vor allem: Browser-Umgebungen müssen stärker als „letzte Instanz“ gedacht werden, also mit Kontrollen für Session-Schutz, mehrstufiger Authentifizierung und klaren Alarmregeln, wenn Browserprofile auffällig auf Userdatenverzeichnisse zugreifen.
Der wirtschaftliche Effekt solcher Angriffe zeigt sich meist indirekt, aber schnell: Investitionen in Web- und Account-Sicherheit sind häufig erst dann „Pflicht“, wenn wiederkehrende Muster aus Credential-Theft und Session-Replay sichtbar werden. Für KI-gestützte Sicherheitsansätze kann JSCeal gleichzeitig eine Herausforderung und ein Datenpunkt sein: Die starke Obfuskation verschiebt signaturbasierte Erkennung, während Verhaltensmuster im Browser – etwa Profil-Auflistung, Cookie-Extraktion und Proxy-/Zertifikatssetup – als Trainings- oder Detektionssignale gut funktionieren können. Entscheidend bleibt, dass Sicherheitsmechanismen nicht nur auf Dateien reagieren, sondern auch auf Kommunikations- und Prozessverhalten im Kontext des Browser-Alltags. Je besser Organisationen diese Lücke schließen, desto weniger Raum bleibt für Malware, die aus gestohlenen Sessions direkt Zugriff ableitet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "JSCeal: V8-JavaScript-Malware nutzt gestohlene Cookies für Google-Account-Zugriff" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "JSCeal: V8-JavaScript-Malware nutzt gestohlene Cookies für Google-Account-Zugriff" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »JSCeal: V8-JavaScript-Malware nutzt gestohlene Cookies für Google-Account-Zugriff« bei Google Deutschland suchen, bei Bing oder Google News!