كشفت أبحاث Check Point عن برمجية خبيثة متقدمة تحمل اسم JSCeal، وهي برمجية مكتوبة بلغة JavaScript ومجمعة عبر محرك V8، تتمتع بقدرات واسعة تشمل سرقة بيانات الاعتماد، مراقبة الأنشطة، واعتراض حركة المرور. تم توثيقها لأول مرة في يوليو 2025، حيث استغل المهاجمون إعلانات خبيثة على منصات مثل Facebook وGoogle لإعادة توجيه المستخدمين إلى مواقع وهمية لتداول العملات الرقمية، تطلب منهم تنزيل مثبتات مزيفة لتطبيق TradingView، ما يؤدي إلى زرع البرمجية في أجهزتهم.
تقنيات الإخفاء والتوزيع
تستخدم JSCeal تقنيات متقدمة لإخفاء شيفرتها عبر أداة javascript-obfuscator، وتشمل:
- استبدال أسماء الدوال والمتغيرات بمعرفات قصيرة أو غير مفهومة.
- تقسيم السلاسل النصية المهمة إلى أجزاء مشفرة بـ RC4 وإعادة تجميعها عبر دوال فك التشفير.
- تسطيح تدفق التنفيذ عبر تحويله إلى حلقة لا نهائية مع متغير حالة، مما يصعّب عملية التحليل.
- تمرير الاستدعاءات عبر دوال وسيطة وتغليف العمليات البسيطة في دوال مخصصة.
أما على مستوى التوزيع، فقد رُصدت حملات Malvertising تستخدم أرشيفات مضغوطة عبر PowerShell، تحتوي على بيئة تشغيل Node.js والحمولة الرئيسية مع مكونات إضافية.
قدرات سرقة البيانات وتجاوز المصادقة
تستهدف البرمجية مجموعة واسعة من المتصفحات المبنية على Chromium مثل Google Chrome وMicrosoft Edge وBrave وOpera وVivaldi وغيرها. تقوم بالوصول إلى مجلدات بيانات المستخدم واستخراج كلمات المرور وملفات تعريف الارتباط. الأخطر أنها قادرة على استخدام هذه البيانات لإعادة بناء جلسات المتصفح وتنفيذ هجمات Session Replay، ما يسمح لها بتجاوز مصادقة جوجل والوصول غير المصرح به إلى الحسابات. كما تحتوي على وحدة مراقبة لتسجيل ضغطات المفاتيح والتقاط صور للشاشة.
اعتراض حركة المرور واستهداف منصات العملات الرقمية
تتبع JSCeal أسلوباً مشابهاً لأحصنة طروادة المصرفية، حيث تنشئ وكيل محلي وتُدخل تعديلات على الطلبات والاستجابات الخاصة بخدمات محددة. من بين المنصات المستهدفة Binance وBybit وLedger، إضافة إلى معالجات عامة لتعديل صفحات HTML وحظر المضيفين ومسح ملفات تعريف الارتباط. كما تركز على منصات العملات الرقمية، حيث تلتقط بيانات الحسابات وتسجل أرصدة المحافظ.
دلالات التطوير المستمر
أشارت الباحثة الأمنية Hasherezade إلى أن JSCeal تجمع بين صيغ معقدة من الشيفرة المجمعة وطبقات متعددة من الإخفاء، ما يجعلها خارج نطاق أدوات التحليل التقليدية. استمرار الحملات حتى الأشهر الأخيرة يؤكد أن البرمجية ما زالت قيد التطوير النشط، مع توسع في قدراتها وتغطيتها للمنصات المختلفة، ما يعكس استثمار القائمين عليها في جعلها أكثر خطورة وصعوبة في الكشف.
