#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
JSCeal — это стиллер информации, ориентированный на криптовалюты, распространяемый в виде байт-кода V8 через встроенные рантаймы Node.js. Он нацелен на учетные данные браузеров, файлы cookie, токены OAuth, криптовалютные аккаунты, сессии Телеграм и нажатия клавиш, при этом поддерживая скриншоты и аутентификацию на базе Puppeteer. Его возможности включают перехват трафика HTTPS и манипулирование сервисами, такими как Binance, Bybit и Ledger, а в более поздних версиях добавлены шифрованные с помощью AES полезная нагрузка и поддержка macOS.
-----

JSCeal — это стиллер, ориентированный на криптовалюты, распространяемый в виде скомпилированного байткода V8 и выполняемый через встроенный рантайм Node.js. В ходе кампаний использовалась вредоносная реклама с последующей доставкой через PowerShell, в рамках которой загружались архивы, содержащие рантайм, полезную нагрузку, скрипты запуска, вспомогательные исполняемые файлы и нативные модули Node.js. Более ранние образы использовали сжатые алгоритмом Brotli кэши кода V8, преимущественно созданные для версии V8 10.2.154.26-node.25, что делало анализ зависимым от точной версии рантайма.

До компиляции ВПО было в значительной степени защищено обфускацией на JavaScript. Наблюдаемые техники включают переименованные идентификаторы, строки, защищённые алгоритмом RC4 и разбитые на фрагменты, сглаживание потока управления, прокси-функции, ленивые обёртки, а также вспомогательные функции, скрывающие базовые операции и вызовы. Статический анализ потребовал выполнения упорядоченных проходов деобфускации для распространения значений, восстановления строк, реконструкции сглаженных конечных автоматов, разрешения прокси и обёрток операций, а также удаления артефактов, сгенерированных компилятором и обфускатором. Восстановленный псевдокод раскрыл имена API, пути к файлам, команды, целевые браузеры, идентификаторы служб и сетевые артефакты без выполнения полезной нагрузки.

ВПО включает обширный функционал для кражи данных из браузеров и учетных данных. Она нацелена на браузеры на базе Chromium, включая Chrome, Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi и Cốc Cốc. JSCeal извлекает файлы cookie, сохраненные учетные данные, токены OAuth и материалы шифрования браузера из файлов профиля. Поддерживаются форматы Chromium с использованием DPAPI, зашифрованных значений v10/v11 и шифрования App-Bound v20. ВПО способна внедрять восстановленные файлы cookie в установленные браузеры, автоматизировать аутентификацию с помощью Puppeteer, проверять восстановленные пароли и получать новые токены Google OAuth.

Среди дополнительных возможностей — сбор данных криптографических счетов и балансов, кража сессий Телеграм, регистрация нажатий клавиш, создание скриншотов, перечисление и управление видимыми окнами, а также запуск браузера с выбранными профилями. JSCeal также работает как локальный прокси для перехвата HTTPS-трафика: он генерирует и устанавливает сертификат, модифицирует трафик для целевых сервисов, таких как Binance, Bybit и Ledger, заменяет данные QR-входа в Binance, изменяет HTML, блокирует хосты и очищает файлы cookie.

В более поздних версиях были переименованы файлы полезной нагрузки, обновлена среда выполнения до V8 13.6.233.10-node.28, добавлено шифрование AES-256-CBC вокруг сжатой полезной нагрузки с использованием ключа, передаваемого через переменную окружения, а также расширен охват целевых систем до macOS.