بدافزار JSCeal با سرقت کوکی های نشست، حساب های گوگل را هدف می گیرد
با وجود اینکه فعال کردن احراز هویت چندمرحله ای یکی از مهم ترین کارهایی است که می توان برای محافظت از یک حساب آنلاین انجام داد؛ اما این قابلیت یک محدودیت مهم دارد: اگر مهاجم به جای سرقت رمز عبور، بتواند به سیستم کاربر نفوذ کرده و به کوکی های مرورگر دسترسی پیدا کند، ممکن است اصلا نیازی به احراز هویت مجدد و متعاقبلا کد تایید هویت دو مرحله ای نداشته باشد.
تحقیقات جدید پژوهشگران شرکت امنیتی Check Point درباره بدافزار JSCeal دقیقا چنین سناریویی را نشان می دهد. این بدافزار می تواند اطلاعات ذخیره شده در مرورگر، از جمله کوکی های نشست و گذرواژه ها را جمع آوری کند و از آنها برای بازسازی نشست کاربر استفاده کند. در نمونه بررسی شده، کد بازیابی شده حتی جریان کاملی برای تعامل با فرایند احراز هویت گوگل و دریافت یک OAuth Token تازه داشت. Check Point در عین حال تاکید می کند که وجود این منطق در کد به معنی موفقیت تضمین شده آن در تمام نسخه ها و حالت های ورود گوگل نیست.
JSCeal چگونه به سیستم قربانی می رسد؟
JSCeal یک Stealer معمولی با تمرکز صرف بر فایل های مرورگر نیست. Check Point این خانواده بدافزاری را از سال ۲۰۲۵ به طور جدی دنبال کرده و فعالیت آن را با تبلیغات مخرب و وب سایت های جعلی حوزه رمزارز و معاملات آنلاین مرتبط دانسته است. در موج های قبلی، قربانی با تبلیغی ظاهرا عادی به صفحه ای شبیه سرویس های مالی یا معاملاتی هدایت می شد و به نصب نرم افزاری جعلی ترغیب می شد.
این مدل حمله هنوز هم اهمیت دارد، چون کاربر لزوما با یک فایل ناشناس در یک انجمن زیرزمینی روبه رو نمی شود؛ نقطه شروع می تواند یک تبلیغ، نتیجه جست وجو یا صفحه ای باشد که ظاهر یک سرویس شناخته شده را تقلید کرده است.
عملیات Malvertising موسوم به SourTrade نیز نمونه دیگری از همین روند است. Confiant در سال ۲۰۲۶ گزارش کرد که این عملیات با جعل برندهایی مانند TradingView، Solana و Luno کاربران حوزه معاملات و رمزارز را هدف گرفته و در برخی نسخه ها، مرورگر قربانی بخشی از فرایند ساخت فایل نهایی را در حافظه انجام می دهد. این روش تشخیص مبتنی بر یک فایل ثابت یا Hash مشخص را دشوارتر می کند.
چرا سرقت Session Cookie می تواند از MFA عبور کند؟
برای درک خطر JSCeal باید بین «احراز هویت» و «نشست فعال» تفاوت بگذاریم. وقتی شما با رمز عبور و عامل دوم وارد یک سرویس می شوید، وب سایت معمولا برای ادامه کار یک Session در مرورگر ایجاد می کند. کوکی احراز هویت بخشی از اطلاعاتی است که به سرویس می گوید این مرورگر قبلا مراحل لازم را طی کرده است. اگر بدافزار بتواند این اطلاعات را از سیستم آلوده به دست بیاورد، ممکن است به جای سرقت رمز و تکرار فرایند MFA، خود نشست معتبر را هدف قرار دهد.
گوگل نیز در مستندات مربوط به Device Bound Session Credentials یا DBSC به همین مسئله اشاره می کند: کوکی های احراز هویت در صورت سرقت می توانند برای Session Hijacking استفاده شوند و مهاجم را قادر کنند برخی کنترل های مرحله ورود، از جمله MFA، را دور بزند. DBSC برای کاهش این خطر طراحی شده است تا نشست را به دستگاه مشخصی متصل کند.
JSCeal یک قدم جلوتر می رود. پژوهش Check Point نشان می دهد بدافزار می تواند مرورگر نصب شده روی همان سیستم را اجرا کند، کوکی های بازیابی شده را در آن قرار دهد و جریان احراز هویت را از داخل دستگاه قربانی دنبال کند. همین موضوع مهم است: مسئله صرفا ارسال یک Cookie به کامپیوتر مهاجم نیست؛ سیستم آلوده می تواند خودش به ابزار اجرای نشست تبدیل شود.
به همین دلیل بهتر است نگوییم «JSCeal الگوریتم MFA گوگل را شکسته است». توصیف دقیق تر این است که بدافزار تلاش می کند از نشست معتبر و داده های احراز هویت موجود روی دستگاه آلوده سوءاستفاده کند؛ تفاوتی که از نظر فنی بسیار مهم است.
خطر فقط حساب گوگل نیست
تمرکز خبر روی Google Authentication نباید باعث شود دامنه JSCeal کوچک تر از واقعیت دیده شود. این بدافزار مرورگرهای مبتنی بر Chromium از جمله Chrome، Edge، Brave، Opera و چند مرورگر دیگر را بررسی می کند و به دنبال اطلاعات قابل استفاده در Profileهای آنها می گردد. قابلیت های دیگری مانند ثبت کلیدهای فشرده شده و گرفتن Screenshot نیز در کد بازیابی شده دیده شده است.
بخش دیگری از بدافزار از یک Proxy محلی برای رهگیری یا دستکاری برخی ارتباطات وب استفاده می کند. پژوهشگران Check Point Handlerهایی را برای سرویس های مرتبط با رمزارز از جمله Binance، Bybit و Ledger مشاهده کرده اند. این موضوع JSCeal را از یک Password Stealer ساده فراتر می برد و آن را به تهدیدی تبدیل می کند که می تواند هم اطلاعات مرورگر را سرقت کند و هم روی تعامل کاربر با برخی سرویس ها اثر بگذارد.
برای مقایسه با نمونه دیگری از بدافزارهای سرقت اطلاعات، می توان به گزارش هوش سپید درباره افزونه مخرب Solidity Pro و سرقت کلیدها در VS Code نیز مراجعه کرد؛ آن حمله هم نشان می دهد Credential، Token و اطلاعات ذخیره شده در محیط کاری امروز تا چه اندازه برای مهاجمان ارزشمند شده اند.
بیشتر بخوانید
این حمله چه نکته ای درباره MFA به ما یاد می دهد؟
نتیجه درست این خبر این نیست که «MFA دیگر فایده ندارد». MFA همچنان یکی از موثرترین کنترل ها در برابر سرقت رمز عبور، Credential Stuffing و بسیاری از حملات Phishing است.
مسئله این است که MFA از یک Endpoint آلوده پاک سازی نمی کند. وقتی بدافزار روی سیستمی اجرا شده که کاربر از قبل در Gmail، Google Workspace، صرافی یا سرویس دیگری وارد شده است، مهاجم می تواند دارایی متفاوتی را هدف بگیرد: Session، Token، Cookie و داده هایی که پس از احراز هویت ایجاد شده اند.
حتی Passkey و Security Key نیز نباید به عنوان جایگزین امنیت Endpoint تصور شوند. این فناوری ها ورود غیرمجاز را بسیار دشوارتر می کنند، اما اگر خود سیستم کاربر تحت کنترل بدافزار قرار گرفته باشد، مسئله دیگر فقط حفاظت از مرحله Login نیست.
این موضوع برای مدیران شبکه و امنیت یک پیام روشن دارد: Identity Security، Browser Security و Endpoint Detection باید در کنار یکدیگر دیده شوند. آموزش مفاهیم پایه ای مانند مدیریت هویت، کنترل دسترسی، Malware و Incident Response نیز به همین دلیل بخش مهمی از مسیر یادگیری امنیت است. مقاله CompTIA Security Plus چیست و برای چه کسانی مناسب است؟ این مفاهیم و جایگاه آنها در مسیر یادگیری امنیت سایبری را دقیق تر توضیح می دهد.
اگر به آلودگی JSCeal یا یک Infostealer مشکوک هستیم چه کنیم؟
اگر احتمال می دهید سیستم به یک Stealer آلوده شده است، تغییر رمز عبور روی همان سیستم اولین اقدام خوبی نیست؛ چون تا زمانی که بدافزار فعال باشد، Credential یا نشست جدید نیز ممکن است دوباره در معرض دسترسی قرار بگیرد.
برای حساب گوگل، بهتر است بررسی امنیتی را از یک دستگاه سالم انجام دهید. گوگل توصیه می کند Recent Security Events و فهرست Deviceها و Sessionهای متصل به حساب بررسی شوند و نشست ها یا دستگاه های ناشناس Sign out شوند. در صورت مشاهده فعالیت مشکوک، تغییر رمز عبور و بررسی سایر حساب هایی که رمز مشابه دارند نیز ضروری است.
در محیط سازمانی، Endpoint مشکوک باید از نظر اجرای بدافزار، دسترسی به Browser Profileها، رفتارهای غیرعادی PowerShell یا Node.js، ایجاد Proxy محلی و سایر نشانه های compromise بررسی شود. اگر آلودگی تایید شد، صرفا حذف یک فایل یا تغییر رمز عبور را نباید معادل پاک سازی کامل سیستم دانست. کاربران عادی نیز بهتر است نرم افزارهای معاملاتی، کیف پول، ابزارهای امنیتی و برنامه های حساس را از لینک تبلیغاتی نصب نکنند. آدرس رسمی سرویس را مستقیما باز کنند و فایل نصب را از منبع اصلی دریافت کنند.
JSCeal این واقعیت مهم را به ما یادآوری می کند که امنیت حساب کاربری و اکانت های آنلاین فقط در حفاظت از صفحه Login خلاصه نمی شود. اگر دستگاهی که نشست معتبر روی آن قرار دارد آلوده شود، مهاجم ممکن است از همان روش اعتمادسازی که که قبلا استفاده شده و بر روی سیستم قربانی فعال است، سوءاستفاده کرده و به اطلاعات حساس و حیاتی او دسترسی پیدا کند. به همین دلیل محافظت از Endpoint، Browser Session و Identity باید بخشی از یک زنجیره واحد امنیتی باشند.
منابع
منبع اصلی تحقیق:
Check Point Research — Breaking the Seal: Static Deobfuscation of JSCeal’s Compiled V8 Bytecode
منبع خبر:
The Hacker News — JSCeal Malware Can Bypass Google Authentication Using Stolen Session Cookies
منبع تکمیلی درباره سرقت Session:
Google Chrome — Device Bound Session Credentials
دیدگاه خود را به اشتراک بگذارید