JSCEAL: Nguy hiểm từ Mã Độc Đánh Cắp Thông Tin Nâng Cao

JSCEAL đã nổi lên như một mối đe dọa mạng nghiêm trọng đối với người dùng Windows, đặc biệt nhắm mục tiêu vào những đối tượng làm việc với các ứng dụng tiền điện tử và tài khoản có giá trị. Được Check Point Research báo cáo lần đầu vào tháng 7 năm 2025, mã độc đánh cắp thông tin này đã lặng lẽ phát triển mạnh mẽ, tích hợp các kỹ thuật tiên tiến được thiết kế để né tránh sự phát hiện của các công cụ bảo mật.

Một làn sóng tấn công mới bắt đầu từ tháng 8 năm 2025 cho thấy mối đe dọa đã trở nên nguy hiểm hơn, với hệ thống chỉ huy và kiểm soát (C2) được cải thiện cùng các phương thức tinh vi hơn để che giấu hoạt động.

Sự Phát Triển và Tái Thiết Hạ Tầng của Mã Độc Đánh Cắp Thông Tin JSCEAL

Ban đầu, JSCEAL lây lan thông qua các quảng cáo trực tuyến lừa đảo. Những quảng cáo này dụ dỗ người dùng truy cập các trang web giả mạo, nơi họ vô tình tải xuống các trình cài đặt độc hại được đóng gói dưới dạng chương trình hợp pháp.

Sau khi được cài đặt trên máy Windows, mã độc đánh cắp thông tin này bắt đầu thu thập các thông tin nhạy cảm. Các dữ liệu bao gồm mật khẩu, tên người dùng và dữ liệu trình duyệt.

CATO Networks, qua phân tích chuyên sâu, đã xác định rằng JSCEAL không chỉ tồn tại mà còn chuyển đổi thành một mối đe dọa phức tạp hơn. Phân tích chi tiết có thể được tham khảo tại Cato Networks Blog.

Từ ngày 20 tháng 8 năm 2025, những kẻ đứng sau JSCEAL đã thiết kế lại hoàn toàn cơ sở hạ tầng của chúng. Chúng chuyển từ việc sử dụng các tên miền đa từ dễ nhận biết sang các tên miền đơn từ. Một ví dụ điển hình là emberstolight.com.

Sự thay đổi này khiến hạ tầng độc hại trở nên khó bị phát hiện và chặn hơn bằng các phương pháp truyền thống. Đây là một bước tiến đáng kể trong khả năng che giấu hoạt động.

Các Chỉ Số Thỏa Hiệp (IOCs)

Dựa trên sự thay đổi trong cấu trúc tên miền, các tên miền đơn từ được sử dụng cho hạ tầng C2 của JSCEAL cần được giám sát chặt chẽ. Một ví dụ đã được xác định:

• Tên miền C2: emberstolight.com

Các tổ chức nên bổ sung các chỉ số này vào hệ thống giám sát và phòng thủ của mình.

Kỹ Thuật Tránh Phát Hiện Nâng Cao của JSCEAL

Mã độc đánh cắp thông tin JSCEAL hiện sử dụng nhiều thủ thuật thông minh để né tránh việc bị phát hiện. Các kỹ thuật này tập trung vào việc gây khó khăn cho các công cụ bảo mật và các nhà phân tích.

Yêu Cầu User-Agent PowerShell Cụ Thể

Khi các công cụ bảo mật hoặc nhà phân tích cố gắng truy cập máy chủ chỉ huy và kiểm soát (C2), hệ thống đòi hỏi một giá trị user-agent PowerShell cụ thể để cho phép tiến hành.

Các yêu cầu từ trình duyệt thông thường sẽ nhận được các thông báo lỗi giả mạo. Những thông báo này được thiết kế để trông giống như các tệp PDF bị hỏng.

Điều này tạo ra một lớp nhầm lẫn bổ sung, làm chậm quá trình phân tích và xác định bản chất thật của mối đe dọa.

Quy Trình Phân Phối Payload Đa Giai Đoạn

Chỉ những hệ thống vượt qua được các kiểm tra ban đầu mới nhận được payload độc hại thực sự. Điều này làm cho quy trình lây nhiễm trở nên phức tạp và khó phân tích.

Cách tiếp cận đa giai đoạn này buộc script phải xác minh rằng một tệp PDF đã được trả về trước khi tiến hành đến điểm cuối của script. Tại đây, payload hoạt động được phân phối.

Điều này làm phức tạp đáng kể các nỗ lực phân tích tự động, yêu cầu sự can thiệp thủ công và chuyên môn sâu hơn.

Cơ Chế Khai Thác Kỹ Thuật và Linh Hoạt Payload

Một tiến bộ kỹ thuật quan trọng liên quan đến script PowerShell đã được tái cấu trúc. Script này hiện sử dụng Windows Scheduler thông qua các đối tượng COM thay vì trực tiếp tạo các tác vụ theo lịch trình.

Thay đổi này làm cho việc nhận dạng mã độc đánh cắp thông tin từ các chỉ số mã đơn giản gần như không thể. Việc sử dụng các đối tượng COM là một kỹ thuật che giấu tinh vi, giúp tránh các cơ chế phát hiện dựa trên chữ ký thông thường.

Hệ thống phân phối payload mới cũng hỗ trợ nhiều định dạng dữ liệu. Các định dạng này bao gồm raw bytes, JSON và MIME.

Sự linh hoạt này mang lại cho những kẻ tấn công khả năng thích ứng cao hơn trong các cuộc tấn công của chúng. Nó cho phép chúng sử dụng các phương pháp truyền dữ liệu khác nhau để né tránh phát hiện và thực hiện các hoạt động độc hại.

Tác Động và Rủi Ro Đối Với Hệ Thống Bị Xâm Nhập

Sự tinh vi của JSCEAL và khả năng tránh phát hiện xâm nhập khiến nó trở thành một rủi ro đáng kể. Các hệ thống bị lây nhiễm có thể dẫn đến việc đánh cắp thông tin cá nhân và doanh nghiệp quan trọng.

Dữ liệu bị lộ có thể bao gồm thông tin đăng nhập tài khoản, chi tiết tài chính và các dữ liệu nhạy cảm khác. Điều này đặc biệt nguy hiểm đối với người dùng quản lý tài sản tiền điện tử hoặc các tài khoản giá trị cao.

Mối đe dọa này vẫn đang hoạt động và không ngừng phát triển. Các tổ chức cần triển khai các biện pháp an ninh mạng nghiêm ngặt để bảo vệ dữ liệu và hệ thống của mình.

Biện Pháp Phòng Ngừa và An Ninh Mạng

Để đối phó với các mối đe dọa như JSCEAL, các tổ chức nên thực hiện các biện pháp bảo mật chặt chẽ. Các biện pháp này bao gồm:

• Chặn Hoạt Động PowerShell Đáng Ngờ: Cấu hình hệ thống để phát hiện và chặn các kịch bản PowerShell có hành vi bất thường hoặc yêu cầu user-agent không chuẩn.
• Giám Sát Giao Tiếp C2 Bất Thường: Liên tục theo dõi lưu lượng mạng để phát hiện các kết nối chỉ huy và kiểm soát bất thường. Đặc biệt chú ý đến các tên miền đơn từ hoặc các giao thức không mong muốn.
• Đào Tạo Người Dùng: Nâng cao nhận thức cho người dùng về các quảng cáo độc hại và các kỹ thuật lừa đảo. Hướng dẫn cách nhận biết và tránh các trang web giả mạo hoặc tải xuống tệp tin độc hại.
• Triển khai Giải pháp Phát hiện và Phản hồi Điểm cuối (EDR): Sử dụng EDR để giám sát chi tiết hành vi trên các thiết bị đầu cuối, giúp phát hiện sớm các hoạt động độc hại mà các công cụ bảo mật truyền thống có thể bỏ qua.
• Cập nhật hệ thống và ứng dụng: Đảm bảo rằng tất cả hệ điều hành và phần mềm ứng dụng được cập nhật các bản vá bảo mật mới nhất để khắc phục các lỗ hổng đã biết.

Các nhóm bảo mật cần duy trì cảnh giác cao độ trước các mã độc đánh cắp thông tin như JSCEAL. Thành công của chúng không đến từ các khai thác kịch tính, mà từ thiết kế cẩn thận, có chủ ý và sự cải tiến liên tục các khả năng tàng hình.