El malware se propaga mediante anuncios y falsas plataformas de inversión. Puede robar contraseñas, tokens OAuth y sesiones abiertas, además de espiar pulsaciones de teclado y realizar capturas de pantalla.
Una nueva evolución de JSCeal está poniendo el foco sobre una de las piezas más sensibles de la seguridad de cualquier usuario: las cookies que mantienen abierta una sesión de Google. Investigadores de Check Point han analizado en profundidad este malware y advierten de que puede extraer cookies, contraseñas y tokens almacenados en navegadores para posteriormente intentar reconstruir sesiones autenticadas de sus víctimas.
La amenaza resulta especialmente preocupante porque conocer la contraseña de una cuenta no siempre es necesario para secuestrar una sesión que ya ha sido autenticada. Si un atacante consigue robar determinados identificadores de sesión válidos, puede intentar reutilizarlos para acceder como si fuese el propio usuario.
Esto significa que mecanismos como la autenticación multifactor (MFA), aunque siguen siendo una protección esencial, no solucionan por sí solos todos los escenarios de robo de sesión.
El malware tiene además un objetivo económico evidente. Las campañas investigadas han utilizado anuncios maliciosos y falsas páginas relacionadas con criptomonedas y plataformas de trading para conducir a las víctimas hasta programas aparentemente legítimos.
JSCeal utiliza falsos instaladores de TradingView
JSCeal no es completamente nuevo.
Check Point documentó campañas relacionadas con este malware en 2025, cuando los investigadores detectaron anuncios fraudulentos en plataformas como Facebook y Google que redirigían a páginas que imitaban servicios de inversión.
Una de las marcas suplantadas era TradingView.
El usuario llegaba a una página aparentemente legítima y descargaba lo que creía que era un instalador del programa. En realidad, podía terminar ejecutando la cadena necesaria para instalar el malware.
Es un método especialmente efectivo porque el ataque comienza explotando la confianza de la víctima, no una vulnerabilidad extraordinaria del navegador.
El usuario busca una aplicación relacionada con inversiones, encuentra un anuncio aparentemente normal y termina descargando software desde una web fraudulenta.
El verdadero peligro: robar una sesión ya autenticada
Una de las capacidades más relevantes descubiertas en JSCeal afecta directamente a las sesiones del navegador.
El malware puede buscar información almacenada en navegadores basados en Chromium, localizar sus diferentes perfiles y extraer datos sensibles.
Entre la información que puede intentar obtener aparecen cookies, contraseñas guardadas, tokens OAuth y otros secretos del navegador.
Posteriormente, las cookies robadas pueden utilizarse para intentar reconstruir una sesión y ejecutar lo que se conoce como un ataque de repetición o secuestro de sesión.
La diferencia es importante.
En un ataque tradicional, el delincuente necesita conseguir las credenciales de la víctima y superar los mecanismos adicionales de autenticación.
Con una sesión robada, el atacante intenta aprovechar una autenticación que la víctima ya había completado previamente.
Por eso, decir simplemente que JSCeal «se salta la contraseña de Google» sería impreciso. Lo que puede hacer es reutilizar determinados datos de una sesión previamente autenticada para intentar acceder sin repetir todo el proceso de inicio de sesión.
Chrome, Edge, Brave, Opera y otros navegadores están entre los objetivos
El alcance del módulo dedicado al robo de información del navegador es considerable.
Según el análisis técnico, JSCeal contempla numerosos navegadores basados en Chromium, entre ellos Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Vivaldi, Avast Secure Browser y Cốc Cốc.
El malware intenta localizar el directorio de datos correspondiente a cada navegador y posteriormente identifica los perfiles disponibles.
A partir de ellos puede buscar las credenciales y cookies almacenadas.
El problema, por tanto, no está limitado exclusivamente a Google Chrome. La utilización de otros navegadores basados en Chromium tampoco elimina automáticamente la amenaza si el ordenador termina infectado.
También registra lo que escribes y realiza capturas de pantalla
El robo de cookies representa solamente una parte de JSCeal.
El malware incorpora capacidades propias de un programa de vigilancia del dispositivo comprometido.
Puede registrar las pulsaciones realizadas en el teclado mediante funciones de keylogging y también realizar capturas de pantalla.
Esto amplía considerablemente la cantidad de información potencialmente expuesta.
Un atacante podría intentar obtener desde credenciales introducidas manualmente hasta información financiera, conversaciones o datos mostrados en pantalla mientras el malware permanece activo.
Las criptomonedas están especialmente en el punto de mira
JSCeal presta especial atención al ecosistema de las criptomonedas.
Los investigadores localizaron funciones relacionadas específicamente con servicios como Binance, Bybit y Ledger.
El malware puede utilizar un proxy local y modificar determinadas solicitudes y respuestas web, una técnica que recuerda a mecanismos utilizados históricamente por algunos troyanos bancarios.
No se limita, por tanto, a observar pasivamente.
El código analizado incorpora funciones capaces de interceptar o modificar tráfico asociado a determinados servicios, además de mecanismos para reemplazar contenido HTML, bloquear determinados servidores o eliminar cookies seleccionadas.
Algunos componentes están específicamente diseñados para obtener información relacionada con cuentas de criptomonedas y registrar los saldos de los usuarios.
Para una víctima con activos digitales, la combinación resulta especialmente peligrosa: navegador comprometido, sesiones robadas, vigilancia del teclado e interés específico por plataformas financieras.
JSCeal está diseñado para dificultar su análisis
Los responsables del malware han dedicado además un esfuerzo considerable a impedir que los investigadores comprendan fácilmente su funcionamiento.
JSCeal utiliza JavaScript V8 compilado y diferentes capas de ofuscación.
Entre las técnicas detectadas aparecen la sustitución de nombres comprensibles de variables y funciones por identificadores prácticamente inútiles, la fragmentación y protección de cadenas mediante RC4, funciones proxy y el denominado aplanamiento del flujo de control.
Esta última técnica transforma la estructura lógica convencional de un programa para dificultar que un investigador pueda seguir rápidamente su funcionamiento.
El objetivo no es hacer imposible el análisis, sino encarecerlo y ralentizarlo.
Check Point Research afirma haber desarrollado precisamente un sistema estático para desofuscar este código y facilitar el estudio del bytecode V8 utilizado por JSCeal.
Una campaña capaz de construir el malware dentro del navegador
Las investigaciones sobre campañas relacionadas han descubierto además un método de distribución especialmente sofisticado.
La operación denominada SourTrade utiliza páginas fraudulentas que no necesariamente descargan directamente un archivo malicioso terminado.
Según los investigadores, determinadas campañas proporcionan al navegador las instrucciones necesarias para ensamblar el malware en la memoria del propio ordenador de la víctima, combinándolas con componentes aparentemente legítimos.
Esta arquitectura intenta dificultar los sistemas tradicionales de detección, porque el archivo malicioso final no tiene necesariamente que viajar completamente construido a través de la red.
La campaña habría utilizado imitaciones de marcas conocidas relacionadas con inversión y criptomonedas y se habría dirigido a usuarios de numerosos países.
Cómo proteger una cuenta de Google frente al robo de sesiones
La principal enseñanza de JSCeal es que la seguridad de una cuenta no termina al activar la verificación en dos pasos.
La autenticación multifactor continúa siendo recomendable porque dificulta enormemente muchos ataques tradicionales. Sin embargo, también hay que proteger el dispositivo donde la sesión ya está iniciada.
La primera precaución es sencilla: no descargar programas financieros, plataformas de inversión o aplicaciones de criptomonedas desde anuncios o páginas cuya autenticidad no haya sido comprobada.
Es preferible acceder directamente al dominio oficial del proveedor.
También conviene mantener actualizado el sistema operativo y el navegador, utilizar protección antimalware, revisar periódicamente las sesiones abiertas y desconfiar de instaladores inesperados.
Si existen sospechas de una infección, cambiar únicamente la contraseña puede no ser suficiente mientras el dispositivo siga comprometido. Resulta necesario eliminar primero la amenaza y posteriormente cerrar o revocar las sesiones activas y revisar los accesos a la cuenta desde un dispositivo considerado seguro.
El robo de cookies se convierte en un problema crítico
JSCeal demuestra por qué las cookies de sesión se han convertido en un objetivo extremadamente valioso para los ciberdelincuentes.
Durante años, buena parte de la educación sobre seguridad digital se concentró en las contraseñas: utilizar claves largas, evitar reutilizarlas y activar la autenticación en dos pasos.
Todo ello sigue siendo necesario.
Pero una sesión autenticada también constituye una credencial digital extremadamente sensible.
Si un atacante consigue controlar el ordenador y extraer sus secretos, puede intentar aprovechar la confianza que los servicios ya habían concedido al navegador de la víctima.
Y JSCeal combina precisamente ese robo con vigilancia, interceptación de tráfico y un especial interés por plataformas financieras y criptomonedas.
La amenaza recuerda una regla fundamental: no basta con proteger la contraseña; también hay que proteger el dispositivo y las sesiones que permanecen abiertas dentro de él.
Chollones
Chollones
Chollones