LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen, wie JSCeal per V8-kompiliertem JavaScript Session-Cookies aus Browsern extrahiert. Mit den gestohlenen Sitzungsdaten führt die Schadsoftware Session-Replay-Angriffe aus, um sich ohne gültige Nutzeranmeldung Zugang zu einem Google-Konto zu verschaffen. Der Code setzt auf Obfuskation mit javascript-obfuscator, gleicht außerdem Browserdaten gezielt ab und installiert bei Bedarf einen lokalen Proxy. Zusätzlich stecken Module für Überwachung wie Tastenanschläge und Screenshots in der Malware.
JSCeal macht vor allem eines deutlich: Moderne Web-Angriffswege hängen nicht mehr ausschließlich an klassischen Credential-Phishing-Logiken, sondern setzen vermehrt auf Session-Diebstahl. Die in V8-kompiliertem JavaScript (JSC) verpackte Malware kombiniert Credential-Harvesting, Überwachungsfunktionen und Mechanismen zur Traffic-Manipulation in einem einzigen Payload-Baukasten. Besonders kritisch ist dabei die beobachtete Fähigkeit, gestohlene Session-Cookies so zu rekonstruieren, dass daraus ein Session-Replay-Angriff wird. Genau diese Umgehung des eigentlichen Login-Prozesses ist der Kern, der Betroffene scheinbar „durchschlüpfen“ lässt, obwohl kein Passwort eingegeben wurde.
Technisch gesehen wird die Analyse dadurch erschwert, dass JSCeal nicht einfach als lesbares Skript geliefert wird, sondern als kompiliertes V8-JavaScript-Format mit mehreren Schichten Obfuskation. Laut Check Point Research sind die Payloads mit javascript-obfuscator geschützt, unter anderem durch RC4-geschützte Strings, Control-Flow Flattening sowie Proxy-Funktionen und Operation-Wrapper. Hinzu kommt ein Muster, das Reverse-Engineering in der Praxis verlangsamt: Funktions- und Variablennamen werden ersetzt, wichtige Zeichenketten werden in Fragmente zerlegt, anschließend rekonstruiert und dabei wiederum encoded sowie RC4-protektiert. Dadurch verschiebt sich die Arbeit für Analysten weg von „lesbarer Logik“ hin zu Entschlüsselung, statischer Entobfuskation und einer sauberen Rekonstruktion der tatsächlichen Ausführungsreihenfolge.
Der Weg in den Browser wird im Ökosystem der Anzeigenkampagnen zunehmend über Malware-as-a-Service-ähnliche Lieferketten beschrieben. JSCeal wurde laut Check Point Research erstmals im Juli 2025 dokumentiert, mit Umleitungen von Nutzern auf gefälschte Krypto-Handelsseiten, die über bösartige Werbung auf Plattformen wie Facebook und Google angetriggert wurden. Diese Gegenstücke sollen Anwender dazu bringen, Installer für TradingView aus fragwürdigen Quellen herunterzuladen; erst darüber gelangt die Malware ins System. Das passt in ein breiteres Bild, das zuletzt auch eine große, als SourTrade bezeichnete Malvertising-Kampagne sichtbar gemacht hat: Laut Confiant wird dort nicht einfach „fertige Malware“ ausgeliefert, sondern Assemblierungsanweisungen direkt im Browser ausgeführt, anschließend wird eine legitime Datei aus externer Infrastruktur geholt und die finale Schadsoftware wird in-memory zusammengebaut. Confiant betonte, dass dabei kein fertiger Malware-Blob im Netzwerk auftaucht.
Für die eigentliche Kompromittierung setzt JSCeal auf eine lange Liste Chromium-basierter Browser und geht dabei nach einem nachvollziehbaren Schema vor: Der Code navigiert in das erwartete Benutzerdatenverzeichnis jedes Zielbrowsers, listet Profilordner auf und extrahiert daraus Cookies und Passwörter. Zu den genannten Browsern gehören unter anderem Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi und auch „Coin“ als Browsername in der Auflistung. Sobald Session-Cookies eingesammelt sind, nutzt die Malware die gestohlenen Daten, um eine Browser-Sitzung zu rekonstruieren und anschließend aktive Session-Replay-Angriffe auszuführen. Genau diese Technik zielt darauf ab, bestehende Authentifizierungsvorgänge zu „kopieren“, wodurch sich die Sicherheitsprüfung auf der Zielseite faktisch um einen frischen Login herum bewegt.
Neben dem Diebstahl zeigt JSCeal auch das typische Werkzeugkastenprinzip, das man sonst eher aus Bank-Trojanern kennt: Surveillance und Manipulation laufen parallel. Ein Modul zeichnet laut Bericht Tastatureingaben auf und erstellt Screenshots. Gleichzeitig gibt es einen Proxy-Mechanismus, der nicht nur passives Abhören erlaubt, sondern auch Eingriffe in Requests und Responses vornimmt. In den von Check Point Research beschriebenen Code-Rückschlüssen umfasst das Proxy-Setup, Zertifikatgenerierung und -installation sowie service-spezifische Modifikationen. Laut dem Bericht existieren dedizierte Handler, die Overrides für konkrete Krypto- und Zahlungsumgebungen abdecken, außerdem generische Mechanismen zum Ersetzen von HTML, zum Blockieren von Hosts und zum selektiven Löschen von Cookies.
Damit die ganzen Bausteine überhaupt sinnvoll auswertbar sind, wird die Gegenwehr ebenfalls technisch: Die israelische Sicherheitsfirma beschreibt eine „fully static deobfuscation pipeline“, die kompiliertes V8-JavaScript-Bytecode decodiert, der zuvor mit javascript-obfuscator geschützt wurde. Das Ergebnis ist ein Einblick in den Ausführungsablauf und die Funktionen der Malware, einschließlich der Fähigkeit, installierte Browser zu enumerieren sowie gespeicherte Secrets, Cookies, OAuth-Tokens und weitere Daten aus den Browsern abzufragen. Parallel dazu werden „router“-ähnliche Registermechanismen erwähnt, die Handler für gesammelte Informationen einbinden. Sicherheitsforscher Aleksandra „Hasherezade“ Doniec ordnet den Effekt so ein, dass zwei Formen von Analyse-Hürden zusammenwirken: erstens die version-spezifische Kompilierungsform des V8-Formats, zweitens mehrere Obfuskationsschichten vor der Kompilation; beides mache Reverse-Engineering nicht unmöglich, verschiebe aber die Arbeit weg von den Standard-Workflows.
Für die Markt- und Verteidigungsseite folgt daraus eine konkrete Handlungslogik. Unternehmen und Security-Teams müssen weniger auf „klassische“ Login-Indikatoren schauen, weil Session-Replay-Angriffe mit gestohlenen Cookies die Authentifizierung in einen anderen Pfad überführen. Gleichzeitig zeigt das Beispiel, wie wichtig instrumentierte Browser- und Token-Überwachung ist, etwa über EDR/SIEM-Korrelationen rund um ungewöhnliche Zugriffe auf User-Profile, sowie über das Erkennen von In-Memory-Konstruktionen, bei denen keine fertige Malware-Datei sichtbar im Netzwerk auftaucht. Dazu kommt: Die beobachtete Überschneidung mit Kampagnen-Clustern wie WEEVILPROXY und MeadowLocust sowie die Verbindung, die laut Bericht bereits 2025 auch in einer anderen Analyse (Bitdefender) beschrieben wurde, deutet auf ein aktiv gepflegtes Angriffsrepertoire hin. Solange JSCeal weiterentwickelt wird, bleibt die Kombination aus Session-Diebstahl, Obfuskation und Service-spezifischer Manipulation der zentrale Grund, warum das Thema für CISO- und SOC-Teams aktuell bleibt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "JSCeal Malware umgeht Google-Login über gestohlene Session-Cookies" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "JSCeal Malware umgeht Google-Login über gestohlene Session-Cookies" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »JSCeal Malware umgeht Google-Login über gestohlene Session-Cookies« bei Google Deutschland suchen, bei Bing oder Google News!