Группа киберпреступников, стоящая за вредоносной программой-собирателем информации (infostealer) JSCEAL, значительно модернизировала свои инструменты и инфраструктуру командования и управления (C2, Command and Control). Как следует из отчета исследовательского подразделения Cato CTRL за август 2025 года, обновленная кампания стала более скрытной и сложной для анализа, сохраняя фокус на краже данных пользователей криптовалютных приложений. В то же время платформа безопасности Cato SASE Cloud демонстрирует эффективность против подобных угроз, блокируя их до выполнения вредоносной нагрузки (payload).
Описание
Ранее, в первой половине 2025 года, о JSCEAL сообщали аналитики Check Point Research. Тогда угроза использовала домены C2, названия которых состояли из двух-трех слов, разделенных дефисами, например, "download-app-windows[.]com". Заражение происходило через злонамеренную (malicious) рекламу, которая перенаправляла жертв на поддельные страницы, распространявшие установщики MSI.
Новая волна атак, зафиксированная с 20 августа, демонстрирует серьезную эволюцию. В первую очередь, злоумышленники полностью переработали инфраструктуру C2. Теперь они используют однословные доменные имена без дефисов, такие как "emberstolight[.]com". Кроме того, расширился спектр используемых доменов верхнего уровня (TLD): помимо .com, активно применяются .org, .link, .net и другие. Регистрация таких доменов партиями через регулярные промежутки времени указывает на автоматизированный и масштабируемый процесс.
Каждый новый домен C2 стандартно использует два одинаковых субдомена: ".faro" и ".api". Эта предсказуемая структура, однако, сочетается с усиленными мерами контроля доступа. Обновленная инфраструктура применяет строгую фильтрацию: любой HTTP-запрос, не содержащий в заголовках User-Agent строки PowerShell, немедленно получает в ответ ошибку 404. Это эффективно блокирует доступ через обычные браузеры или многие песочницы (sandbox) для автоматического анализа.
Когда запрос приходит с корректным User-Agent, сервер отвечает не настоящей вредоносной нагрузкой, а поддельным файлом PDF, имитирующим ошибку. Этот файл выполняет роль верификационного слоя. Только после того, как скрипт на стороне жертвы подтверждает получение PDF, он отправляет второй запрос уже на эндпоинт "/script", где и получает оперативную вредоносную нагрузку. Такой многоэтапный подход значительно осложняет автоматический анализ и повышает скрытность цепочки заражения.
Ключевой компонент - обновленный PowerShell-скрипт-загрузчик (loader) - также подвергся серьезной переработке. Во-первых, для создания задачи в Планировщике заданий Windows с целью обеспечения постоянного присутствия (persistence) теперь используется COM-объект вместо прямого упоминания имени задачи. Во-вторых, скрипт был переписан для обработки трех различных типов содержимого полезной нагрузки: сырых байтов, JSON и MIME. В-третьих, если в ранних версиях было множество жестко прописанных доменов, то теперь скрипт ссылается только на один, что делает его более гибким и менее подверженным обнаружению по статическим индикаторам.
Изменения затронули и последующие этапы заражения. Архив "build.zip", который доставляет следующие компоненты вредоноса, теперь содержит измененные имена файлов и типы данных. Это указывает на то, что злоумышленники переработали не только начальный загрузчик, но и структуру последующих стадий.
Эволюция JSCEAL показательна. Угроза не использует громких уязвимостей или эксплойтов. Вместо этого она развивается за счет тихой оптимизации: укрепления C2-инфраструктуры, ужесточения контроля доступа, внедрения многоэтапной доставки полезной нагрузки и переработки кода для устойчивости и скрытности. Операторы маскируются под легитимный трафик и выдают вредоносную нагрузку только после многоуровневой проверки. Ничего кричащего в кампании августа 2025 года нет, но каждое изменение было deliberate. Этот случай напоминает, что даже тихие и методичные угрозы требуют от систем защиты глубокой видимости (visibility) и проактивного контекстного анализа.
Индикаторы компрометации
