Una campaña de malware denominada JSCEAL ha sido identificada por investigadores de Check Point Research. La campaña está dirigida específicamente a usuarios de aplicaciones de criptomonedas.
Operación en redes sociales
Desde marzo de 2024, los ciberdelincuentes han desplegado más de 35.000 anuncios maliciosos en Facebook. Los anuncios engañan a millones de usuarios —principalmente en la Unión Europea— mediante apps falsas de trading financiero que simulan servicios legítimos como TradingView.
Mecanismo de ataque
El ataque inicia con anuncios patrocinados que utilizan cuentas robadas o nuevas para ganar credibilidad. Al hacer clic, la víctima es redirigida a una página web falsa diseñada cuidadosamente para parecer una plataforma legítima.
Desde allí, se le invita a descargar un instalador en formato MSI. El archivo MSI extrae librerías DLL y establece comunicación con el sitio falso, ejecutando scripts que intentan conectarse a un servidor local en el puerto 30303.
Recolección de datos
Las DLL recopilan información del sistema —como configuración del equipo, software instalado y datos de usuario— mediante comandos PowerShell. Esta información es exfiltrada al atacante en formato JSON.
Activación del malware JSCEAL
Si el dispositivo es considerado valioso, se activa el malware JSCEAL, ejecutado mediante Node.js a través de un archivo JavaScript compilado con el motor V8 (formato .jsc).
Funcionalidades del malware JSCEAL
- Permite intercepción de tráfico web mediante un proxy local.
- Permite inyección de scripts maliciosos en sitios de banca, intercambio de criptomonedas y otras plataformas sensibles.
- Roba credenciales en tiempo real, incluyendo cookies del navegador, contraseñas almacenadas y datos de autocompletado, cuentas de Telegram, teclas pulsadas y capturas de pantalla.
- Permite manipulación directa de wallets de criptomonedas y ataques adversario-en-el-medio (AitM).
- Incluye funcionalidad como troyano de acceso remoto (RAT) para control total del sistema.
Impacto global
Solo en el primer semestre de 2025, se estima que esta campaña ha alcanzado a 3,5 millones de usuarios en la UE y posiblemente más de 10 millones en todo el mundo.
Características técnicas
La amenaza representa una evolución significativa en las campañas de malware financiero gracias a su estructura modular, técnicas anti-análisis y uso de archivos compilados JavaScript (.jsc).