JSCeal Malware Can Bypass Google Authentication Using Stolen Session Cookies

Menace JSCeal : Vol de sessions et contournement de l’authentification

Le malware JSCeal est une menace sophistiquée utilisant du bytecode V8 JavaScript compilé pour dérober des données sensibles. Distribué via des campagnes de malvertising (notamment sous couvert de logiciels comme TradingView), il cible principalement les investisseurs en cryptomonnaies. Sa particularité réside dans l’utilisation de techniques d’obfuscation avancées rendant l’analyse statique complexe.

Points clés :

• Mode de propagation : Utilisation de publicités malveillantes (Facebook/Google) redirigeant vers des sites frauduleux. Certains vecteurs (campagne SourTrade) assemblent le malware directement en mémoire pour éviter d’être détectés par les solutions de sécurité réseau.
• Capacités techniques : Exfiltration de cookies, mots de passe, jetons OAuth et historique de navigation. Il intègre également des fonctions de surveillance (enregistreur de frappe, captures d’écran) et un proxy local pour intercepter et modifier le trafic web.
• Contournement de sécurité : Le vol de cookies de session permet aux attaquants de rejouer des sessions authentifiées, contournant ainsi les protections par double authentification (2FA) des comptes Google.
• Cibles : Utilisateurs de navigateurs basés sur Chromium (Chrome, Edge, Brave, etc.) dans 12 pays, avec des handlers spécifiques pour des plateformes comme Binance, Bybit et Ledger.

Vulnérabilités :

• Le malware ne repose pas sur une CVE unique, mais exploite la gestion des sessions web via les cookies et le manque de protection persistante contre le vol de jetons d’authentification dans le stockage local des navigateurs.

Recommandations :

• Hygiène numérique : Éviter de télécharger des logiciels depuis des liens publicitaires ; privilégier les sites officiels.
• Protection des navigateurs : Limiter l’installation d’extensions inconnues et ne pas enregistrer de mots de passe sensibles dans le navigateur.
• Sécurité des sessions : Utiliser des solutions de gestion des accès qui exigent une re-authentification fréquente ou l’utilisation de clés de sécurité matérielles (FIDO2) pour rendre les cookies volés inexploitables.
• Analyse : Pour les équipes SOC, surveiller les exécutions inhabituelles de processus Node.js et les modifications suspectes de certificats racines locaux.

Source