{"id":51461,"date":"2026-09-07T11:14:40","date_gmt":"2026-09-07T09:14:40","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51461"},"modified":"2026-09-07T11:14:40","modified_gmt":"2026-09-07T09:14:40","slug":"jsceal-umgeht-google-authentifizierung-session-cookie-diebstahl-51461","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/jsceal-umgeht-google-authentifizierung-session-cookie-diebstahl-51461\/","title":{"rendered":"JSCeal umgeht Google-Authentifizierung mithilfe gestohlener Session-Cookies"},"content":{"rendered":"

Cybersecurity-Forscher haben die Schadsoftware JSCeal<\/strong> entschl\u00fcsselt \u2013 einen raffinierten, kompilierten V8-JavaScript-Code (JSC), der mit Funktionen zum Aussp\u00e4hen von Anmeldedaten, zur \u00dcberwachung und zum Abfangen von Netzwerkverkehr ausgestattet ist. Die Malware wird \u00fcber manipulierte Werbeanzeigen auf Facebook und Google verbreitet, die ahnungslose Nutzer auf gef\u00e4lschte Kryptow\u00e4hrungs-Handelsseiten locken. Dort werden sie aufgefordert, vermeintliche TradingView-Installer herunterzuladen, die tats\u00e4chlich die Schadsoftware ausliefern. Die Aktivit\u00e4ten \u00fcberschneiden sich mit den Bedrohungsclustern WEEVILPROXY und MeadowLocust.<\/p>\n

Infektionsweg und technische Besonderheiten<\/h2>\n

Die Malvertising-Kampagnen nutzen zwei ZIP-Archive, die per PowerShell ausgeliefert werden: eines enth\u00e4lt die Node.js-Laufzeitumgebung, das andere den Hauptnutzlastcode und weitere Hilfskomponenten. Ein besonders ausgekl\u00fcgelter Ableger dieser Kampagne ist die als SourTrade<\/strong> bezeichnete Operation, die seit Ende 2024 aktiv ist und gezielt Privatanleger und Kryptow\u00e4hrungs-Investoren in zw\u00f6lf L\u00e4ndern Asiens und Lateinamerikas anspricht. Die Angreifer imitieren vertrauensw\u00fcrdige Marken wie Solana, Luno und TradingView und nutzen dazu Landingpages, die den Browser anweisen, die Malware direkt im Arbeitsspeicher zusammenzubauen \u2013 ohne dass jemals eine vollst\u00e4ndige Schadsoftware im Netzwerk existiert. Die endg\u00fcltige Nutzlast wird erst im Speicher des Opfers zusammengesetzt, was herk\u00f6mmliche netzwerkbasierte Erkennung umgeht.<\/p>\n

Obfuskationsmethoden: Wie JSCeal sich tarnt<\/h2>\n

JSCeal ist mit dem Tool javascript-obfuscator<\/em> gesch\u00fctzt. Die Angreifer wenden wiederholt vier Transformationsgruppen an, um eine Analyse zu erschweren. Dazu geh\u00f6ren das Ersetzen von Funktions- und Variablennamen durch kurze oder sinnfreie Bezeichner, das Zerlegen wichtiger Zeichenketten in codierte und RC4-gesch\u00fctzte Teile, die sp\u00e4ter durch Decoder-Funktionen wieder zusammengesetzt werden, sowie die Kontrollflussgl\u00e4ttung. Diese Technik verwandelt den Programmablauf in eine flache Switch-Anweisung, die von einer Endlosschleife und einer Zustandsvariablen gesteuert wird. Au\u00dferdem leiten Proxy-Helfer Funktionsaufrufe weiter, und einfache Operationen wie Addition, Subtraktion oder Vergleich werden in dedizierte Hilfsfunktionen verpackt.<\/p>\n

Das israelische Sicherheitsunternehmen Check Point Research<\/a> hat eine vollst\u00e4ndig statische Entschleierungspipeline entwickelt, die den kompilierten V8-JavaScript-Bytecode entschl\u00fcsselt und so Einblicke in den Ausf\u00fchrungsfluss und die F\u00e4higkeiten der Malware erm\u00f6glicht. Die Analyse deckte auf, dass JSCeal installierte Browser auflisten, gespeicherte Geheimnisse, Cookies, OAuth-Token und andere Daten auslesen kann. Dar\u00fcber hinaus enth\u00e4lt die Malware \u201eRouter\u201c-Funktionen, die Handler f\u00fcr die gesammelten Informationen registrieren.<\/p>\n

Browser-Stealer-Modul im Detail<\/h3>\n

Das Browser-Stealing-Modul zielt auf einen langen Katalog von Chromium-basierten Browsern ab: Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi und C\u1ed1c C\u1ed1c. F\u00fcr jeden Browser navigiert die Schadsoftware zum erwarteten Speicherort des Benutzerdatenverzeichnisses, listet verf\u00fcgbare Profile auf und extrahiert Cookies und Passw\u00f6rter. Besonders gef\u00e4hrlich: JSCeal kann die gestohlenen Cookies nutzen, um eine vollst\u00e4ndige Browser-Sitzung zu rekonstruieren und aktive Session-Replay-Angriffe durchzuf\u00fchren. Auf diese Weise umgeht die Malware die Google-Authentifizierung und erh\u00e4lt unbefugten Zugriff auf das Google-Konto des Opfers \u2013 ohne dass ein Passwort oder ein zweiter Faktor ben\u00f6tigt wird.<\/p>\n

Session-Replay: Authentifizierung ohne Passwort knacken<\/h2>\n

Die Technik des Session-Replays ist ein seit Jahren bekanntes Angriffsmuster, das jedoch durch die Pr\u00e4zision von JSCeal eine neue Qualit\u00e4t erreicht. Indem die Malware die kompletten Sitzungsdaten (inklusive g\u00fcltiger Session-Cookies) repliziert, kann sie sich gegen\u00fcber Google als legitimer Nutzer ausgeben. Der Angriff ist besonders effektiv, weil er weder auf Phishing noch auf Credential-Stealing angewiesen ist. Die gestohlenen Cookies enthalten alle notwendigen Authentifizierungsinformationen, sodass die Zwei-Faktor-Authentifizierung (2FA) nicht greift. Das Opfer bemerkt den unbefugten Zugriff h\u00e4ufig erst, wenn verd\u00e4chtige Aktivit\u00e4ten im Konto auftauchen.<\/p>\n

\u00dcberwachung und Proxy-Manipulation<\/h2>\n

Ein zweites Modul von JSCeal erm\u00f6glicht \u00dcberwachung: Es zeichnet Tastatureingaben auf und erstellt Screenshots. Noch weitreichender ist die Proxy-Funktionalit\u00e4t. Die Malware installiert einen lokalen Proxy, generiert und installiert eigene Zertifikate und kann dann den Datenverkehr zu bestimmten Diensten abfangen und manipulieren. Die rekonstruierten Codefragmente zeigen dedizierte Handler, die Anfragen und Antworten f\u00fcr Binance, Bybit und Ledger modifizieren. Dar\u00fcber hinaus existieren generische Handler zum Ersetzen von HTML, zum Blockieren von Hosts und zum L\u00f6schen ausgew\u00e4hlter Cookies. Ein weiterer Handler ist speziell darauf ausgelegt, Kontodaten und Kryptow\u00e4hrungsguthaben zu erfassen.<\/p>\n

\u201eJSCeal kombiniert zwei Formen von Analysewiderstand: ein versionsspezifisches kompiliertes V8-Format und mehrere Schichten JavaScript-Obfuskation vor der Kompilierung\u201c, erkl\u00e4rt Sicherheitsforscherin Aleksandra \u201eHasherezade\u201c Doniec. \u201eKeine dieser Techniken macht die Malware unm\u00f6glich zu analysieren, aber zusammen verschieben sie sie au\u00dferhalb der Arbeitsabl\u00e4ufe, auf die Analysten normalerweise vertrauen.\u201c<\/p>\n

Entwicklung und Ausblick<\/h2>\n

Die Methoden der Angreifer zeigen, dass sie sowohl in die Erschwerung der Analyse als auch in die Verbreiterung der Plattformabdeckung investieren. Die Kampagnen laufen weiterhin, und die j\u00fcngsten \u00c4nderungen deuten darauf hin, dass JSCeal aktiv weiterentwickelt wird. Mit der zunehmenden Verbreitung von Compiled-JavaScript-Malware und der Nutzung vertrauensw\u00fcrdiger Werbeplattformen als Einfallstor m\u00fcssen Unternehmen und Privatanwender ihre Sicherheitsstrategien \u00fcberdenken. Der Schutz vor Session-Cookie-Diebstahl erfordert unter anderem den Einsatz von kurzlebigen Sitzungstoken, strikte SameSite-Richtlinien und die kontinuierliche \u00dcberwachung auf ungew\u00f6hnliche Sitzungsaktivit\u00e4ten. Gleichzeitig zeigt der Fall JSCeal, wie wichtig eine mehrschichtige Verteidigung ist, die auch die Entschleierung und dynamische Analyse von compiled Code umfasst.<\/p>\n","protected":false},"excerpt":{"rendered":"

Cybersecurity-Forscher haben die Schadsoftware JSCeal entschl\u00fcsselt \u2013 einen raffinierten, kompilierten V8-JavaScript-Code (JSC), der mit Funktionen zum Aussp\u00e4hen von Anmeldedaten, zur \u00dcberwachung und zum Abfangen von Netzwerkverkehr ausgestattet ist. Die Malware wird \u00fcber manipulierte Werbeanzeigen auf Facebook und Google verbreitet, die ahnungslose Nutzer auf gef\u00e4lschte Kryptow\u00e4hrungs-Handelsseiten locken. Dort werden sie aufgefordert, vermeintliche TradingView-Installer herunterzuladen, die tats\u00e4chlich […]<\/p>\n","protected":false},"author":5,"featured_media":55187,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51461.png","fifu_image_alt":"JSCeal umgeht Google-Authentifizierung mithilfe gestohlener Session-Cookies","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51461","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51461.png","fifu_image_alt":"JSCeal umgeht Google-Authentifizierung mithilfe gestohlener Session-Cookies","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51461","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51461"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51461\/revisions"}],"predecessor-version":[{"id":51463,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51461\/revisions\/51463"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55187"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51461"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51461"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51461"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}