盗難CookieによるGoogle認証突破マルウェア「JSCeal」の詳細判明――ブラウザメモリ上で生成される新手の手口も
要点
- セキュリティ企業のCheck Point Researchが、V8バイトコード形式のJavaScriptマルウェア「JSCeal」に関する詳細な解析レポートを公開した。
- JSCealは複数のChromium系ブラウザからセッションCookieなどの認証情報を窃取し、Googleアカウントの認証をすり抜けるセッションリプレイ攻撃を行う。
- 「javascript-obfuscator」を用いた暗号化や制御フロー平坦化など多重の難読化が施されており、Node.js環境で動作する。
- 広告セキュリティ企業のConfiantは、関連する「SourTrade」作戦において、被害者のブラウザメモリ上でマルウェアを直接組み立てる手口を確認している。
リード文
セキュリティ企業のCheck Point Researchは、高度に難読化されたJavaScriptマルウェア「JSCeal」の技術解析レポートを公開した。JSCealは、被害者の端末から窃取したセッションCookieを利用してGoogleアカウントの認証を突破し、不正アクセスを行う機能を備えているという。研究チームは独自の静的解析パイプラインを開発し、その難読化手法や詳細な攻撃メカニズムを明らかにした。
Chromium系ブラウザからの認証情報窃取機能
JSCealは、Google ChromeやNode.jsで使われるJavaScriptエンジン「V8」の中間コード（V8バイトコード）としてコンパイルされたマルウェアである。実行環境としてNode.jsランタイムを利用し、バックグラウンドで情報窃取や監視活動を展開する。
解析によると、JSCealは多数のChromiumベースのウェブブラウザを標的としている。対象にはGoogle Chromeをはじめ、Microsoft Edge、Brave、Opera、Opera GX、Avast Secure Browser、Vivaldi、ベトナム発のCốc Cốcなどが含まれる。マルウェアはこれらのブラウザが保存されているユーザーデータディレクトリを探索し、利用可能なプロファイルを特定した上で、保存されたパスワード、Cookie、OAuthトークンなどの機密データを抽出する。収集されたデータは、内部に用意されたルーター機能を通じて各処理ハンドラーへと送られる仕組みとなっている。
セッションリプレイによる認証回避と端末監視
JSCealの大きな特徴の一つが、窃取したCookieデータを悪用したGoogleアカウント認証のバイパス機能である。正規ログイン時に生成されたCookieを再利用してユーザーになりすます「セッションリプレイ攻撃」を実行し、ブラウザセッションを再構築することで、正規の認証プロセスを迂回して被害者のGoogleアカウントへ不正にアクセスする。
さらに、マルウェア内部には端末監視を目的とした第2のモジュールが組み込まれている。このモジュールは、ユーザーのキーボード入力を記録するキーストロークログの取得や、デスクトップ画面のスクリーンショット撮影、ネットワークトラフィックの傍受といった機能を実行する。
多重の難読化構造と解析パイプラインの開発
JSCealのペイロードには、オープンソースの難読化ツール「javascript-obfuscator」が用いられており、解析を妨害するための多層的な保護が施されていた。Check Point Researchの報告によると、攻撃者は主に以下の4つの変換手法を繰り返し適用していたという。
- 識別子の置換: 関数名や変数名を無意味な短い文字列に変更する。
- 文字列の分割とRC4暗号化: 重要な文字列データを細かく分割した上でエンコードおよびRC4暗号化を施し、実行時に専用のデコーダー関数で復元する。
- 制御フロー平坦化: プログラムの構造を解体して無限ループとswitch文に置き換え、実行フローを単一階層に平坦化することで処理順序の把握を困難にする難読化技術。
- プロキシと操作のラッピング: 関数呼び出しをプロキシヘルパー経由に迂回させ、加減算や比較などの単純な演算も専用のラッパー関数で覆い隠す。
こうした高度な隠蔽に対し、Check Point ResearchはコンパイルされたV8バイトコードを静的に解析・復号するツール「jsc_deobfuscator」を独自に開発し、マルウェアの実行フローと機能の全容を特定することに成功したと説明している。
悪質広告を用いた拡散と「SourTrade」によるインメモリ組み立て
JSCealは2025年7月にCheck Pointによって初めて文書化されたマルウェアで、「WEEVILPROXY」や「MeadowLocust」といった脅威グループの活動と重複が確認されている。初期の感染経路では、FacebookやGoogle上の悪質な広告（正規の広告配信網を悪用するマルバタイジング）を通じてユーザーを偽の暗号資産取引サイトへ誘導し、取引ツール「TradingView」の偽インストーラーをダウンロードさせていた。このインストーラーからPowerShellを実行し、Node.jsランタイムとメインペイロードを収めた2つのZIPファイルを展開する仕組みが使われていた。また、2025年9月にはセキュリティ企業のBitdefenderからも関連キャンペーンが報告されている。
さらに2026年8月には、広告セキュリティ企業のConfiantが、JSCealと関連する大規模なマルバタイジング作戦「SourTrade」の詳細を公表した。この作戦は2024年後半から活動しており、アジア太平洋や中南米を中心に12カ国・25言語で個人トレーダーや暗号資産投資家を標的としている。Solana、Luno、TradingViewなどの著名ブランドを偽装したポータルサイトが使われている。
Confiantの報告によると、SourTradeはネットワーク上に完成したマルウェアファイルを流通させない点が技術的に際立っているという。ランディングページに埋め込まれた悪意あるJavaScriptがブラウザに対して組み立て指示を送り、別のサーバーから取得したクリーンな正規ファイルと組み合わせることで、被害者のマシン上のブラウザメモリ内で最終的なマルウェアを直接生成する手口が確認されている。