JSCeal có thể vượt qua xác thực Google bằng cookie phiên bị đánh cắp
"Researchers analyzed JSCeal, a compiled V8 JavaScript malware used in malvertising campaigns to steal browser data, cookies, passwords, OAuth tokens, and cryptocurrency-related information from Chromium-based browsers. The malware can replay stolen Google session cookies to bypass authentication and gain unauthorized account access, while also supporting keylogging, screenshots, and proxy-based traffic interception; no CVE is mentioned and the primary mitigation is detection/removal of the malware and protection of browser session data."
Nguy cơ chiếm quyền tài khoản qua cookie phiên bị đánh cắp; đồng thời có thể thu thập thông tin xác thực và giám sát thao tác người dùng.
Có thể gây mất quyền truy cập tài khoản doanh nghiệp, rò rỉ dữ liệu trình duyệt và ảnh hưởng đến người dùng giao dịch/tiền mã hóa; tăng chi phí ứng phó sự cố và điều tra.
Các nhà nghiên cứu an ninh đã phân tích JSCeal, một mã độc V8 JavaScript được biên dịch, đang được phát tán qua các chiến dịch malvertising. Mã độc này có khả năng thu thập cookie, mật khẩu, OAuth token, dữ liệu trình duyệt và thông tin liên quan đến tiền mã hóa từ các trình duyệt dựa trên Chromium.
Điểm đáng chú ý là JSCeal có thể dùng cookie phiên Google bị đánh cắp để replay session và vượt qua cơ chế xác thực, từ đó truy cập trái phép vào tài khoản. Ngoài ra, mã độc còn hỗ trợ keylogging, chụp screenshot và thiết lập proxy cục bộ để chặn hoặc sửa đổi lưu lượng truy cập.
Theo phân tích, chiến dịch này nhắm tới người dùng giao dịch và nhà đầu tư tiền mã hóa, đồng thời sử dụng nhiều lớp obfuscation để gây khó khăn cho việc điều tra. Các trình duyệt bị nhắm tới gồm Google Chrome, Microsoft Edge, Brave, Opera, Vivaldi và một số trình duyệt khác.
Khuyến nghị kỹ thuật: phát hiện và gỡ bỏ mã độc, kiểm tra dấu hiệu chiếm đoạt phiên đăng nhập, bảo vệ cookie phiên và token xác thực, đồng thời tăng cường giám sát thiết bị đầu cuối và lưu lượng mạng để phát hiện hành vi bất thường.