近年來，網路廣告詐騙（Malvertising）演變得日益複雜，不再僅是跳出廣告，而是成為部署高度精密惡意軟體的入口。根據 Check Point Research 以及 Confiant 等資安研究機構的報告，一種名為 JSCeal 的惡意軟體正透過偽造加密貨幣交易平台，針對全球投資者發動攻擊。這類攻擊的核心在於利用使用者對知名品牌的信任，將其誘導至偽造的 TradingView 等交易網站，進而讓使用者在不知情的情況下下載並執行惡意程式。
JSCeal 的傳播路徑具有高度隱蔽性。攻擊者在 Facebook 和 Google 上投放惡意廣告，將受害者導向看似正統的加密貨幣交易頁面。這些頁面會誘導使用者下載偽造的軟體安裝程式，隨後透過 PowerShell 腳本下載兩個 ZIP 壓縮檔，分別包含 Node.js 執行環境以及主程式碼與輔助組件。值得注意的是，這類活動與被稱為 WEEVILPROXY 和 MeadowLocust 的威脅群組高度重疊，顯示出有組織的犯罪背景。
核心技術與隱匿手段
JSCeal 之所以難以被偵測與分析，是因為它結合了兩層強大的保護機制。首先，它使用了 V8 JavaScript (JSC) 編譯格式，將程式碼轉化為 V8 引擎可直接執行的位元組碼（Bytecode），這使得傳統的靜態分析工具難以直接讀取原始碼。其次，在編譯之前，開發者使用了 javascript-obfuscator 工具進行多層混淆，包括將變數名稱替換為無意義的符號、將重要字串切碎並使用 RC4 加密算法保護，以及採取控制流扁平化（Control-flow flattening）技術。
控制流扁平化是一種將程式的邏輯結構轉化為單一的大型 switch 語句，並由無限迴圈與狀態變數控制執行順序的技巧，這讓反組譯工程師極難追蹤程式的實際執行邏輯。此外，JSCeal 還將簡單的運算（如加減法或函數調用）封裝在專用的代理函數（Proxy functions）中，進一步增加分析成本。
記憶體組裝與動態部署
在名為 SourTrade 的相關攻擊行動中，JSCeal 展示了一種更進階的部署方式。不同於傳統惡意軟體直接下載完整檔案，SourTrade 的登陸頁面僅向瀏覽器發送組裝指令。瀏覽器會從不同的基礎設施獲取看似乾淨的合法檔案，然後直接在受害者的記憶體中將其組裝成最終的惡意程式。由於完整的惡意軟體從未以檔案形式存在於網路傳輸過程中，這種方式能有效繞過許多依賴檔案掃描的網路防禦系統。
功能模組與攻擊影響
JSCeal 的功能設計高度針對性，主要分為憑證竊取、監控與流量攔截三大模組。在憑證竊取方面，它能掃描所有基於 Chromium 核心的瀏覽器（如 Google Chrome, Microsoft Edge, Brave 等），直接進入使用者數據目錄提取儲存的密碼、Cookie 以及 OAuth 令牌（OAuth tokens，一種允許第三方應用在不獲知密碼情況下訪問帳戶的授權憑證）。
最危險的影響在於，JSCeal 能利用竊取的 Session Cookie 進行會話重放攻擊（Session Replay Attack）。這意味著攻擊者可以重建受害者的瀏覽器會話，在不需要輸入帳號密碼或通過二階段驗證（2FA）的情況下，直接繞過 Google 的身份驗證，非法進入受害者的 Google 帳戶。
除了帳戶接管，JSCeal 還包含監控模組，可記錄鍵盤輸入（Keylogging）並截圖。在流量攔截方面，它模仿銀行木馬的行為，在本地安裝代理伺服器並安裝偽造憑證，藉此攔截並修改特定服務的 HTTP 請求與回應。研究發現，該軟體針對 Binance、Bybit 和 Ledger 等加密貨幣平台設有專門的處理程序，能自動擷取帳戶資料並記錄加密貨幣餘額。
實務意義與限制
JSCeal 的出現標誌著 JavaScript 惡意軟體進入了專業化階段。它不再僅僅依賴單一的混淆手段，而是將編譯格式與多層混淆結合，將分析門檻提高到超出一般分析師的日常工作流程。雖然 Check Point 研發了完全靜態的反混淆管線（Deobfuscation pipeline）來解析 V8 位元組碼，但這類分析需要極高的技術投入。
對於使用者而言，這提醒了僅依賴二階段驗證（2FA）並不足夠，因為 Session Cookie 的竊取能讓攻擊者直接跳過驗證環節。而對於企業，則需強化對記憶體內執行異常行為的監控，而非僅僅依賴傳統的檔案特徵碼掃描。目前 JSCeal 仍處於積極開發狀態，其平台覆蓋範圍與分析阻力持續增加，對全球零售交易者與加密貨幣投資者構成長期威脅。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。