JSCeal e il bytecode V8: l'analisi di hasherezade su Check Point
- JSCeal è un sofisticato stealer focalizzato su crypto, attivo da marzo 2024 e tracciato da Check Point dal 2025.
- Il malware elude l'analisi classica usando una doppia protezione: offuscamento pesante e compilazione in bytecode V8 (.jsc).
- Hasherezade ha sviluppato un toolkit di deoffuscamento statico che recupera il codice senza eseguire il malware.
- Le capacità scoperte includono keylogging, furto di credenziali e intercettazione HTTPS tramite proxy MITM locale.
La sfida tra analisti di malware e sviluppatori di minacce si è spostata su un piano di astrazione più profondo. Al centro di questa evoluzione c'è JSCeal, un software malevolo progettato per colpire specificamente le applicazioni di criptovalute, ma capace di operazioni di sorveglianza molto più ampie. Identificato anche come WEEVILPROXY o MeadowLocust da altri vendor, questo stealer ha iniziato le sue campagne nel marzo 2024, entrando nel mirino di Check Point Research (CPR) all'inizio del 2025.
L'ossessione di hasherezade per JSCeal
Il lavoro di decostruzione di JSCeal è stato guidato da hasherezade, ricercatrice di Check Point, il cui obiettivo non era semplicemente bloccare un singolo campione, ma comprendere l'evoluzione di un'intera famiglia di malware. La difficoltà risiedeva nella natura stessa del payload: JSCeal non si presenta come un semplice script JavaScript, ma come bytecode V8 compilato in file .jsc, eseguiti tramite un runtime Node.js integrato nel pacchetto.
Per un imprenditore o un CTO, questo dettaglio è cruciale. Significa che l'attaccante non sta solo scrivendo codice malevolo, ma sta utilizzando strumenti di compilazione per rendere il software quasi illeggibile agli strumenti di analisi standard. L'obiettivo di hasherezade era recuperare il codice a un livello che permettesse l'analisi dettagliata, il confronto tra diversi campioni e il tracciamento delle mutazioni del malware nel tempo. Questa ricerca è stata presentata a Black Hat USA 2026, segnando il passaggio da una fase di osservazione delle campagne (già documentata in una pubblicazione di luglio 2025) a una fase di dissezione tecnica profonda.
Come nascondere il codice V8
JSCeal implementa una strategia di difesa a due strati che rende i tradizionali strumenti orientati al codice sorgente completamente inefficaci. Il primo strato è l'offuscamento aggressivo tramite javascript-obfuscator. Questa fase introduce diverse tecniche di complicazione: l'uso di stringhe protette da RC4, il cosiddetto control-flow flattening (che distrugge la struttura logica lineare del programma), l'inserimento di proxy functions e l'utilizzo di operation wrappers.
Una volta offuscato, il codice subisce una seconda trasformazione: viene compilato nella rappresentazione interna del bytecode di V8. In questo modo, l'analista non si trova più di fronte a un testo leggibile, ma a dati cache compilati. Analisi strategica: questa tecnica sposta il costo dell'analisi dall'attaccante al difensore. Mentre l'attaccante impiega pochi secondi per compilare il codice, l'analista deve investire settimane per ricostruire la logica originale. È una barriera asimmetrica che protegge l'investimento intellettuale del creatore del malware.
Il toolkit che rompe il sigillo
Per superare questo blocco, Check Point Research ha sviluppato una pipeline di deoffuscamento completamente statica. La caratteristica fondamentale di questo approccio è che trasforma il pseudocodice V8 senza mai eseguire il malware, eliminando così i rischi associati all'analisi dinamica in ambienti sandbox che potrebbero essere rilevati dal software malevolo.
Il processo si articola in diverse fasi tecniche, come dettagliato nella ricerca Breaking the Seal. Il toolkit, reso pubblico sotto il nome di jsc_deobfuscator, permette di invertire le stringhe protette da RC4 e di 'appiattire' nuovamente i flussi di controllo, restituendo una struttura logica comprensibile. Un elemento innovativo è l'integrazione opzionale di LLM (Large Language Models) per la fase di rinomina delle variabili. Poiché il processo di decompilazione produce nomi di funzioni e variabili generici, l'intelligenza artificiale viene utilizzata per suggerire nomi semanticamente coerenti, rendendo le basi di codice massicce molto più semplici da navigare per l'essere umano.
Keylogger e proxy MITM invisibili
Una volta rimosso il sigillo del bytecode, l'analisi ha rivelato che JSCeal è molto più di un semplice stealer di wallet. Il malware integra capacità di sorveglianza avanzata che lo rendono un vero e proprio strumento di spionaggio endpoint. Tra le funzionalità scoperte spiccano:
- Keylogging: la capacità di registrare ogni pressione di tasto per intercettare password e seed phrase.
- Credential Theft: l'estrazione sistematica di credenziali dai browser e da applicazioni locali.
- Intercettazione HTTPS: l'implementazione di un proxy MITM (Man-in-the-Middle) locale per intercettare il traffico criptato tra l'utente e i server esterni.
L'uso di un proxy MITM locale è particolarmente insidioso perché permette al malware di leggere i dati in chiaro prima che vengano cifrati per la trasmissione o subito dopo che sono stati decifrati all'arrivo, bypassando di fatto la protezione TLS/SSL del browser. Analisi di business: per un'azienda che gestisce asset digitali o transazioni crypto, questo significa che la crittografia del canale di comunicazione non è più una garanzia se l'endpoint è compromesso. Il perimetro di sicurezza si sposta dall'infrastruttura di rete alla protezione assoluta del processo di runtime.
LLM contro l'offuscamento sintetico
L'integrazione degli LLM nella pipeline di hasherezade solleva una questione critica sulla futura evoluzione della cybersecurity. Se l'IA può essere usata per rinominare variabili e comprendere il senso di un codice offuscato, è certo che gli sviluppatori di malware useranno l'IA per generare offuscamenti ancora più complessi e 'naturali', capaci di ingannare gli stessi modelli che dovrebbero analizzarli.
Siamo di fronte a una corsa agli armamenti sintetica. Il caso di JSCeal dimostra che l'IA non è più solo un supporto per scrivere codice, ma un componente essenziale della reverse engineering. Tuttavia, l'efficacia di questo approccio dipende dalla qualità del toolkit di base; senza la deoffuscazione statica del bytecode V8, l'LLM non avrebbe materiale su cui lavorare. La lettura critica suggerisce che l'IA è l'ultimo miglio dell'analisi, non la soluzione completa.
Le evoluzioni più recenti di JSCeal, citate da HazeTec, indicano che gli attaccanti stanno già reagendo. Sono stati osservati code cache V8 generati per versioni più recenti di Node.js, l'aggiunta di un ulteriore livello di cifratura del payload e l'estensione dei target verso l'ecosistema macOS. Questo indica una strategia di adattamento rapido per mantenere l'efficacia contro i nuovi strumenti di detection.
La difesa dei wallet tra NIS2 e l'ecosistema crypto UE
Per le imprese italiane e l'Unione Europea, il caso JSCeal non è un semplice aneddoto tecnico, ma un campanello d'allarme sulla resilienza degli endpoint. Con l'entrata in vigore della direttiva NIS2, l'obbligo di gestione del rischio della supply chain e la sicurezza dei sistemi informativi diventano requisiti legali per molte organizzazioni, incluse quelle che operano nei servizi finanziari e digitali.
L'uso di bytecode compilato per nascondere malware evidenzia una lacuna nelle difese tradizionali basate su firma o analisi euristica semplice. Le imprese italiane, spesso caratterizzate da una digitalizzazione rapida ma a volte superficiale nella parte di security, devono considerare che l'adozione di tecnologie come Node.js in ambito aziendale introduce superfici di attacco che richiedono competenze di analisi specifiche. Se un malware può nascondersi all'interno di un runtime legittimo utilizzando bytecode V8, le soluzioni EDR (Endpoint Detection and Response) devono evolvere verso un monitoraggio comportamentale più granulare.
Inoltre, l'AI Act europeo pone limiti e responsabilità sull'uso di sistemi di IA. L'impiego di LLM per la difesa, come fatto da Check Point, è un esempio di uso legittimo e necessario, ma l'eventuale automazione della risposta agli incidenti tramite IA dovrà rispettare i criteri di trasparenza e supervisione umana previsti dalla normativa. La protezione dei wallet e delle chiavi private non è più solo un problema di 'custodia', ma di integrità del sistema operativo.
Per monitorare l'evoluzione di questa minaccia, gli imprenditori dovrebbero osservare due indicatori verificabili: 1. L'eventuale rilascio di aggiornamenti di Node.js che introducano meccanismi di firma obbligatoria per i file .jsc (bytecode V8). 2. L'incremento di report di incidenti legati a proxy MITM locali in ambienti aziendali, segno che la tecnica di JSCeal è stata adottata da altri gruppi di threat actor.
Per approfondire le specifiche tecniche della deoffuscazione, è possibile consultare il report dettagliato su Offseq Radar.
Domande frequenti
Cos'è esattamente JSCeal?
È un sofisticato malware stealer, attivo da marzo 2024, specializzato nel furto di criptovalute, credenziali e sorveglianza, che utilizza bytecode V8 compilato per eludere l'analisi.
Perché il bytecode V8 rende il malware più difficile da analizzare?
Perché trasforma il codice JavaScript leggibile in una rappresentazione binaria interna al motore V8, rimuovendo le informazioni a cui si appoggiano i comuni strumenti di analisi del codice sorgente.
Quali sono le capacità più pericolose di questo malware?
Oltre al furto di wallet, la capacità di installare un proxy MITM locale per intercettare il traffico HTTPS e l'uso di keylogger per catturare password in tempo reale.
Come ha fatto Check Point a superare queste protezioni?
Sviluppando una pipeline di deoffuscamento statica (jsc_deobfuscator) che ricostruisce il codice senza eseguirlo, supportata da LLM per rinominare le variabili e rendere il codice comprensibile.
Fonti: Research, Radar, Hazetec ·
glacom · IA per aziende e PMI: da dove si comincia davvero →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
