Исследователи Check Point Research обнаружили масштабную киберкампанию под кодовым названием JSCEAL, нацеленную на пользователей криптовалютных приложений. Злоумышленники применяют изощренные методы маскировки, включая скомпилированные JavaScript-файлы (JSC), распространяемые через поддельные установщики под видом легитимных торговых платформ. Кампания активно действует с марта 2024 года, эволюционируя в сложную многоуровневую операцию с экстремально низким уровнем детектирования.
Описание
Атака начинается с фишинговой рекламы в соцсетях, где злоумышленники создают фейковые страницы, имитирующие около 50 популярных криптоплатформ. В первой половине 2025 года было зафиксировано 35 000 таких объявлений только в Евросоюзе, получивших миллионы просмотров. Жертв перенаправляют через цепочку доменов с шаблонными названиями вроде "app-download-pc[.]com" на поддельные сайты, где предлагают скачать вредоносный MSI-инсталлятор. Критически важной особенностью является синхронная работа сайта и установщика: без взаимодействия с веб-страницей вредоносная нагрузка не активируется.
Инсталляторы, созданные с помощью WIX Toolset, содержат подписанные DLL-библиотеки. После установки они разворачивают локальный HTTP-сервер на порту 30303 для связи с фишинговым сайтом. Две ключевые библиотеки - WMI.dll и TaskScheduler.dll - выполняют разные функции: первая собирает системную информацию через Windows Management Instrumentation, вторая создает скрытую задачу в Планировщике Windows. Эта задача запускает серию PowerShell-скриптов, которые отключают защитные механизмы Windows Defender, добавляя исключения для процессов и путей выполнения.
Второй этап включает сложное профилирование жертвы. PowerShell-бэкдор собирает данные об установленном ПО, настройках UAC, прокси-конфигурации, сетевых параметрах и электронной почте, формируя детализированный JSON-профиль. Если операторы признают цель "ценной", инициируется финальная стадия: загрузка Node.js среды и ZIP-архива build.zip, содержащего JSC-полезную нагрузку. Архив включает скомпилированный файл app.jsc, декомпрессионный скрипт preflight.js и вспомогательные библиотеки winpty.
Уникальность JSCEAL заключается в использовании скомпилированного JavaScript, который выполняется через Node.js. Код обработан обфускатором javascript-obfuscator, фрагментирующим логику и строки, что делает статический анализ практически невозможным. Для декомпиляции исследователи применяли инструмент VIEW8, разработанный ранее для анализа JSC-файлов. После запуска вредонос устанавливает локальный прокси и внедряет сертификаты через certutil.exe, перехватывая трафик для инъекции скриптов в банковские и криптосайты.
Функционал JSCEAL включает кражу cookies, автозаполняемых паролей, ключей Telegram, делает скриншоты, ведет кейлоггинг, манипулирует криптокошельками и расширениями браузеров. Модуль Puppeteer автоматизирует действия в браузере, а WinPTY запускает PowerShell-команды. Вредонос действует как полноценный RAT (Remote Access Trojan), устанавливая tRPC-соединение с C2-серверами через DNS-over-HTTPS с использованием Cloudflare 1.1.1.1.
Кампания выделяется профессиональной инфраструктурой: злоумышленники регистрируют сотни доменов по шаблону "словарных" комбинаций (app/download/desktop) и используют Cloudflare Pages для хостинга. MSI-инсталляторы подписаны валидными сертификатами российских компаний из нефтяного и торгового секторов. При потере интереса к жертве операторы запускают скрипт самоуничтожения, удаляющий Node.js компоненты и отменяющий изменения в реестре.
Несмотря на публикацию части данных о кампании под названием WeevilProxy, JSCEAL продолжает развиваться. Эксперты подчеркивают, что использование легитимных платформ вроде Node.js для выполнения скомпилированного JavaScript открывает новую эру стелс-угроз, устойчивых к традиционным средствам защиты. Широта функционала, масштабы распространения и изощренность антианалитических механизмов делают JSCEAL одним из наиболее опасных финансовых троянов 2025 года.
Индикаторы компрометации
