Check Point Research paljastab JSCeal-i koodi. Lugege, kuidas keerukas krüptovaluutade varastaja kasutab V8 bytecode'i ja kuidas seda nüüd tõhusaalt analüüsida.

Küberturvalisuse maailmas on pidev võistlemine rünnaja varjamistehnoloogiate ja analüüsitööriistade vahel. Viimane läbimurre tuli Check Point Researchi (CPR) poolt, kes on suutnud murda läbi ühe keerulisema kaitsekihest, mida kasutab krüptovaluutadele suunatud pahavara JSCeal. See varastaja, mida tuntakse teiste turvalisusettevõtete poolt ka nimede WEEVILPROXY või MeadowLocust all, ei ole tavaline JavaScripti skript, vaid see on pakkitud viisil, mis muudab traditsioonilise analüüsi peaaegu võimatuks.

Miks tavaline JavaScripti analüüs ei toimi

Enamasti kohtuvad analüütikud JavaScripti pahavaraga, mis on tekstivormis või vaid lihtsalt obfuskreeritud. JSCeal aga kasutab kahetaselist lähenemist, mis eemaldab koodist suure osa infot, millele tugnevad standardset tööriistad. Esiteks on koodi läbinud põhjalik obfuskatsioon, kasutades javascript-obfuscator tööriista. See tähendab, et muutuja nimed on asendatud, loogika on segastatud ja stringid on krüpteeritud.

Kuid see on alles esimene etapp. Teiseks on kood kompileeritud V8 mootori sisemiseks bytecode'iks ja tarnitud .jsc failidena. See tähendab, et analüütik ei näe enam koodi, vaid masinakeelele sarnaseid juhiseid, mida käivitatakse kaasasoleva Node.js runtime'iga. Selline lähenemine muudab koodi loetavuse minimaalseks ja takistab tõhusat võrdlemist erinevate pahavara versioonide vahel.

Staatiline deobfuskatsioon ja uue tööriistakomplekti roll

Selle väljakutsega toime tulema, arendas CPR täielikult staatilise deobfuskatsiooni torustiku. Staatilise analüüsi suur eelis on see, et pahavara ei pea käivitama, mis vähendab riski, et rünnaja märkab analüüsi või et pahavara teostab oma kahjustavad funktsioonid analüütiku keskkonnas. See protsess muudab V8 pseudokoodi taas analüüsitavaks vormiks.

Protsess hõlmab mitmeid tehnilisi samme, et puhastada koodi siseestruktuur. Seejäbeas on kõrvaldatud kontrollivoolu tasandamine (control-flow flattening), mis on tehnika, kus programmi loogika on peidetud ühe suure lülituse (switch) taha, muutes programmi kulgemise jälgimist raskeks. Samuti on purretud RC4-algoritmi abil kaitsetud stringid, mis paljastavad pahavara tegelikud sihtpunktid ja käsud.

Huvitav on ka tehisintellekti rakendamine selle protsessi lõpufaasis. Kuna taastatud koodi baasid on sageli tohutud ja muutuja nimed on endiselt juhuslikud, lisas CPR valikullise LLM-i (suure keelemudeli) abil toimiva ümbernimetamise etapi. See aitab analüütikatel kiiremini mõista, milline koodi osa vastutab konkreetse funktsiooni eest, muutes navigeerimise koodis intuitiivsemaks.

JSCeal'i varjatud võimekuse analüüs

Kui kood on lõpuks puhastatud ja loetavaks muudetud, tulid päevale JSCeal'i tegelikud ja hirmutavad võimekused. See ei ole pelgalt lihtne varastaja, vaid terviklik spionaažetööriist. Analüüs paljastas, et pahavara suudab teostada järgmist:

JSCeal on võimeline teostama klaviatuuri logimist (keylogging), varastama veebibrauserite salvestatud andmeid ja paroolid ning püüda HTTPS-liiklust kohaliku MITM (Man-in-the-Middle) proxy serveri abil.

See tähendab, et isik, kelle arvutisse JSCeal satub, kaotab kontrolli mitte ainult oma krüptovaluutade üle, vaid kogu oma digitaalse identiteedi üle. HTTPS-liikluse püüdmine on eriti ohtlik, kuna see võimaldab rünnajat näha krüpteeritud suhtlust veebilehtedega, mida peetakse tavaliselt turvaliseks. See kõik on võimalik tänu sellele, et pahavara integreerib end süsteemi sügavalt, kasutades Node.js keskkonda.

Kuidas pahavara evolueerib ja kohandub

Küberründajad ei jää kunagi paigale. Check Point Researchi märkased, et JSCeal on pidevalt arenenud alates oma esimesest märkumisest märtsis 2024. Uuemad versioonid on muutunud veelgi raskemini tuvastatavaks. Üks olulisemaid uuendusi on V8 koodi vahemälu (code caches) genereerimine uuemate Node.js ja V8 versioonide jaoks, mis muudab vanad analüüsimeetodid tõhusamatuks.

Lisaks on rünnajad lisanud uue krüpteerimiskihi payloadidele, et takistada nende tuvastamist skannerite poolt. Veelgi murettekitav on see, et JSCeal on nüüd suunatud ka macOS operatsioonisüsteemile, laiendades oma rünnakupinda Windowsi ja Linuxi kasutajate kaugusele. See näitab, et rünnajat ei piisa vaid ühe platvormi kaitsega, vaid on vajalik terviklik lähenemine.

Tööriistade kättesaadavus ja kogukonna koostöö

Selle uurimuse üks olulisemaid aspektid on see, et CPR ei hoidnud oma leiutusi salajas, vaid esitles need Black Hat USA 2026 konferentsil ja avaldas täieliku tööriistakomplekti nimega jsc_deobfuscator. See võimaldab teistele turvalisusekspertidele ja ettevõtete IT-meeskondadele kiiremini tuvastada JSCeal'i variante oma võrkudes.

Täpsemat tehnilist dokumentatsiooni ja näiteid sellest, kuidas V8 bytecode'i staatiliselt analüüsida, leiab Offseq Radar platvormilt või HazeTeci ülevaatest. See avatud lähenemine on kriitiline, kuna pahavara evolutsioon on kiirem kui üksikute ettevõtete suutlus seda jälgida.

Mida see tähendab Eesti ja Balti riikide ettevõtetele

Eesti ja Balti riigid on tuntud oma kõrge digistalise taseme ja e-riigi mudelite poolest. Kuid just see tegutamine pilves ja reliance digitaalsetes teenustes muudab meid haavatavaks selliste keerukate rünnakute vastu nagu JSCeal. Kohalikule ettevõtmele tähendab see uudis kolme olulist asja.

Esiteks on see meeldetuletus, et AI-põhine kaitse on nüüd vajalik, kuna rünnajat kasutavad LLM-isid koodi optimeerimiseks ja varjamiseks. Kui analüütikud kasutavad AI-d koodi deobfuskatsiooniks, siis rünnajat kasutavad seda tõenäoliselt koodi genereerimiseks, mis läbib tavalised antivirusprogrammid. Teiseks on Balti riikide startup-ökosüsteem, mis tugineb massiivselt JavaScripti ja Node.js raamistikutele, potentsiaalselt sihtruum, kui arendajad ei järgi rangeid sõltuvuste kontrollimise meetodeid.

Kolmandaks, seoses Euroopa Liidu AI Actiga ja e-Estonia turvalisusstandarditega, peavad ettevõtted tegutsema proaktiivselt. Me ei saa lootda vaid sellele, et tarkvara on sertifitseeritud; me peame olema valmis staatilise analüüsi ja nulipäevaste rünnakute tuvastamise meetoditega. JSCeal-i puhul näeme, et rünnajat ei ründa ainult kasutajat, vaid manipuleerib selgeid tehnoloogilisi standardeid (V8 bytecode), et jääda märkamatuks. Balti ettevõtetele on kriitiline investeerida mitte ainult tulemüüridesse, vaid sügavasse koodianalüüsi võimekusse ja employee awarenessi, et vältida krüptovaluutade ja ettevõtte credentialside kaotust.

Korduma kippuvad küsimused

Mis on JSCeal ja millega see tegeleb?

JSCeal on keerukas pahavara (stealer), mis on suunatud eelkõige krüptovaluutadele. See varastab paroolid, teostab klaviatuuri logimist ja püüab HTTPS-liiklust kohaliku proxy serveri abil.

Miks on JSCeal'i tuvastamine raskem kui tavalise viiruse?

See on tarnitud kompileeritud V8 bytecode'ina (.jsc failid) ja kasutab mitmeid obfuskatsiooni tehnikaid, nagu RC4-krüpteerimine ja kontrollivoolu tasandamine, mis peidab koodi tegelise loogika.

Kuidas Check Point Research suutis seda analüüsida?

Nad arendasid staatilise deobfuskatsiooni torustiku, mis võimaldab V8 bytecode'i taastada loetavaks pseudokoodiks ilma pahavara käivitamata, kasutades lõpufaasis LLM-i abi muutuja nimede taastamiseks.

Kas JSCeal on ohtlik ainult Windowsi kasutajatele?

Ei, uuringud näitavad, et JSCeal on evolueerinud ja nüüd on see suunatud ka macOS operatsioonisüsteemile.

---

Allikad: Research, Radar, Hazetec ·