JSCeal ruba sessioni Google e aggira l’accesso

JSCeal è un malware che non si limita a rubare password: può sottrarre cookie e token di sessione dal browser e usarli per ricostruire una sessione già autenticata, arrivando in alcuni casi ad aggirare l’accesso agli account Google. Per un’azienda questo significa una cosa molto concreta: anche quando l’utente ha attivato misure di protezione aggiuntive, un PC compromesso può diventare il punto d’ingresso per account, dati e servizi cloud.

La notizia, pubblicata il 7 settembre 2026 sulla base di un’analisi di Check Point Research, riguarda una minaccia evoluta che unisce furto di credenziali, sorveglianza dell’utente e manipolazione del traffico web. È un segnale importante per tutte le PMI che usano quotidianamente browser, posta, Google Workspace, piattaforme bancarie o strumenti online di produttività.

Che cos’è JSCeal e perché è diverso da molti altri malware

Secondo i ricercatori, JSCeal è un malware costruito in JavaScript compilato per V8, il motore usato dall’ecosistema Node.js e da diversi ambienti web. Non è un dettaglio tecnico secondario: questa scelta lo rende più difficile da analizzare e da intercettare con i metodi tradizionali usati dagli specialisti di sicurezza.

Check Point aveva già documentato JSCeal nel luglio 2025, collegandolo a campagne che sfruttavano falsi siti di trading di criptovalute. Le vittime venivano reindirizzate tramite annunci malevoli pubblicati su Facebook e Google verso pagine contraffatte che imitavano servizi noti e spingevano al download di falsi installer, in particolare legati a TradingView. L’attività presenta sovrapposizioni con un cluster di minaccia identificato anche con i nomi WEEVILPROXY e MeadowLocust.

La novità emersa ora non è soltanto la presenza del malware, ma il livello di maturità raggiunto: il codice è protetto con tecniche di offuscamento multiple, usa una struttura pensata per ostacolare l’analisi e include moduli distinti per furto dati, sorveglianza e intercettazione del traffico.

In pratica, non parliamo del classico malware “rumoroso” che cifra file o blocca la macchina. JSCeal punta piuttosto a restare operativo il più possibile, raccogliere informazioni preziose e consentire accessi non autorizzati ai servizi online usati dalla vittima.

Come avviene l’infezione

La catena di attacco descritta nelle fonti si basa sul malvertising, cioè annunci online malevoli che imitano brand reali o molto conosciuti. Invece di arrivare su un sito legittimo, l’utente finisce su un portale somigliante all’originale e viene convinto a scaricare un file apparentemente innocuo.

Nel caso di JSCeal, le campagne distribuiscono due archivi ZIP tramite PowerShell: uno contiene il runtime Node.js, l’altro il payload principale e componenti ausiliari. Questo approccio consente agli attaccanti di assemblare e avviare il malware sfruttando elementi che, presi singolarmente, possono sembrare meno sospetti.

La fonte richiama anche un’operazione molto ampia, denominata SourTrade e descritta da Confiant il mese scorso, che impersona marchi noti del trading e delle criptovalute come Solana, Luno e TradingView. In quel caso, il browser riceve istruzioni JavaScript per costruire il malware direttamente in memoria sulla macchina della vittima, senza che un file malevolo completo transiti in rete in modo evidente. Confiant ritiene la campagna attiva dalla fine del 2024, diretta a trader retail e investitori in criptovalute in 12 Paesi e 25 lingue, soprattutto tra Asia-Pacifico e America Latina. Le evidenze indicano sovrapposizioni con una campagna JSCeal già descritta da Bitdefender nel settembre 2025.

Per le imprese italiane il punto non è il settore cripto in sé. Il vero problema è il metodo: pubblicità malevole, siti clone, download ingannevoli e browser usato come veicolo d’attacco sono tattiche che possono colpire chiunque, anche fuori dal mondo degli investimenti digitali.

Cosa ruba davvero dal browser

Uno degli aspetti più critici di JSCeal è la sua capacità di esaminare i browser installati e di estrarre informazioni sensibili dai profili utente. Check Point ha rilevato che il modulo di furto dati prende di mira un ampio elenco di browser basati su Chromium, tra cui Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi e Cốc Cốc.

Per ciascun browser, il malware cerca la directory dei dati utente, individua i profili disponibili e da lì estrae:

• password salvate;
• cookie;
• token OAuth;
• altri segreti memorizzati nel browser.

Questo è il passaggio chiave. Molte aziende pensano ancora che la protezione dell’account coincida con la sola password. In realtà, oggi il browser conserva una parte rilevante della “vita digitale” dell’utente: sessioni attive, accessi persistenti, consensi, token applicativi e credenziali memorizzate per comodità. Se questi elementi vengono sottratti, l’attaccante può ottenere accessi molto rapidi a servizi cloud, webmail, pannelli amministrativi e strumenti aziendali.

Perché i cookie di sessione sono così pericolosi

La notizia più rilevante riportata da The Hacker News è che JSCeal può usare i cookie rubati per ricostruire una sessione del browser ed eseguire attacchi di session replay, con l’obiettivo di bypassare l’autenticazione e ottenere accesso non autorizzato all’account Google della vittima.

Tradotto in termini non tecnici: se un dipendente è già autenticato a un servizio, il malware può rubare le “prove” digitali che dimostrano quella sessione attiva e riutilizzarle. In alcuni scenari, questo permette all’attaccante di saltare il normale processo di login, perché il sistema “vede” una sessione già valida.

È il motivo per cui il furto di cookie è considerato oggi una minaccia molto seria, soprattutto per chi usa piattaforme cloud in modo intensivo. Non annulla il valore dell’autenticazione a più fattori, ma può ridurne l’efficacia quando il criminale riesce a impossessarsi di una sessione già aperta e fidata.

Per questo la sicurezza non può fermarsi al momento del login: va protetto anche l’endpoint, cioè il PC dell’utente, e va monitorato il comportamento delle sessioni attive.

Non solo furto credenziali: sorveglianza e modifica del traffico

JSCeal non si ferma alla raccolta di dati dal browser. Un secondo modulo integra funzioni di sorveglianza, in particolare registrazione dei tasti premuti e acquisizione di schermate. Ciò significa che l’attaccante può osservare ciò che l’utente digita e vede, con un rischio diretto per password non salvate, messaggi riservati, dati bancari e contenuti visualizzati sullo schermo.

In più, il malware include capacità di proxy locale. Secondo Check Point, il codice recuperato mostra funzioni per l’impostazione di un proxy, la generazione e installazione di certificati e la modifica di richieste e risposte relative a servizi specifici. I ricercatori citano override separati per Binance, Bybit e Ledger, oltre a funzioni più generiche per sostituire HTML, bloccare host e cancellare cookie selezionati.

Questo tipo di comportamento ricorda quello dei trojan bancari: non si limitano a osservare il traffico, ma possono alterarlo. In pratica, l’utente potrebbe trovarsi davanti a contenuti modificati senza accorgersene, oppure compiere operazioni su pagine che sono state manipolate localmente dal malware.

Anche se alcuni riferimenti nelle fonti riguardano piattaforme crypto, la lezione per le aziende è universale: un malware capace di intervenire nel traffico web può influenzare accessi, workflow e processi sensibili molto oltre il perimetro finanziario.

Perché questa minaccia è difficile da analizzare e fermare

Check Point spiega che JSCeal è protetto con javascript-obfuscator e varie tecniche di offuscamento, tra cui stringhe protette con RC4, control-flow flattening, funzioni proxy e wrapper per operazioni semplici. In sostanza, il malware è stato progettato per rendere più complesso il lavoro di chi cerca di capirne il funzionamento.

La ricercatrice Aleksandra “Hasherezade” Doniec osserva che JSCeal combina due elementi che aumentano l’attrito per l’analisi: un formato compilato V8 specifico per versione e più livelli di offuscamento JavaScript applicati prima della compilazione. Non significa che il malware sia impossibile da analizzare, ma che esce dai flussi di lavoro più comuni usati nei laboratori di sicurezza.

Per un’impresa questo si traduce in una considerazione pratica: non tutte le minacce vengono riconosciute subito e non sempre gli indicatori tradizionali bastano. Serve una difesa che unisca aggiornamenti costanti, controllo degli endpoint, formazione degli utenti e procedure di risposta rapide.

Cosa significa per la tua azienda

Se nella tua organizzazione si usano browser per gestire posta, documenti, home banking, CRM, gestionali cloud o account Google, JSCeal è un promemoria chiaro: il browser è uno degli asset più critici e più esposti.

Ecco le azioni più utili, soprattutto per una PMI italiana:

1. Riduci il salvataggio indiscriminato di password nel browser. È comodo, ma aumenta il valore del bottino in caso di compromissione. Valuta politiche più rigorose e strumenti di gestione credenziali dedicati.

2. Rivedi l’uso delle sessioni persistenti. Restare sempre connessi a servizi sensibili espone al rischio di riutilizzo dei cookie rubati. Dove possibile, limita la durata delle sessioni e richiedi una nuova autenticazione per attività critiche.

3. Controlla gli endpoint, non solo gli account. Se il PC è infetto, anche un accesso protetto può essere messo a rischio. Un buon piano di sicurezza informatica deve includere protezione degli endpoint, monitoraggio e aggiornamenti puntuali.

4. Forma il personale sul malvertising. Un annuncio sponsorizzato non è automaticamente affidabile. Insegna a verificare URL, dominio reale, provenienza del download e coerenza del sito prima di installare qualsiasi software.

5. Limita i privilegi locali. Se gli utenti possono installare liberamente software o eseguire script senza controlli, il rischio cresce. Una gestione strutturata delle postazioni con criteri omogenei di configurazione aiuta a ridurre l’esposizione; qui può essere utile un servizio di desktop IT management.

6. Predisponi procedure per revocare sessioni e token. Se sospetti un’infezione, cambiare la password può non bastare. Occorre revocare le sessioni attive, invalidare i token, scollegare i dispositivi e verificare accessi anomali.

7. Proteggi i dati con backup e continuità operativa. Anche quando il malware non cifra i file, un incidente può richiedere bonifica, reinstallazione delle postazioni e ripristino dei dati. Un sistema di remote backup riduce i tempi di fermo e il rischio operativo.

8. Verifica gli accessi ai servizi cloud aziendali. Email, documenti condivisi e archivi online sono i primi bersagli dopo il furto di sessione. Controlla log, geolocalizzazioni anomale, nuovi dispositivi e autorizzazioni sospette.

La regola di fondo è semplice: non considerare il browser un semplice programma di navigazione. Oggi è una cassaforte di credenziali, sessioni e dati di lavoro. Se quella cassaforte viene aperta, il danno può propagarsi molto rapidamente.

Domande frequenti

Se uso l’autenticazione a più fattori sono al sicuro?

Non completamente. L’autenticazione a più fattori resta essenziale, ma il furto di cookie e sessioni può permettere in alcuni casi di riutilizzare una sessione già autenticata.

Questo malware colpisce solo chi investe in criptovalute?

No. Le campagne descritte usano esche legate al trading, ma le tecniche impiegate — falsi siti, download malevoli, furto di cookie e credenziali — possono danneggiare qualsiasi azienda.

Cambiare password basta dopo un sospetto compromesso?

Spesso no. Bisogna anche revocare sessioni attive, invalidare token, controllare il browser, bonificare la postazione e verificare eventuali accessi già avvenuti.