JSCeal-Malware: Neue Angriffe umgehen Google-2FA gezielt
Veröffentlicht am: 07.09.2026 um 17:43 Uhr | Redaktion boerse-global.de
In einem am 7. September 2026 veröffentlichten Bericht dokumentierte Check Point Research neue Erkenntnisse zur JSCeal-Malware, die eine erhebliche Bedrohung für die Sicherheit von Nutzerkonten darstellt.
Den Analysen zufolge ist die Schadsoftware in der Lage, die Zwei-Faktor-Authentifizierung (2FA) von Google gezielt zu umgehen. Dies gelingt durch den Diebstahl von Browser-Session-Cookies und die Durchführung eines sogenannten lokalen Session-Replays direkt auf dem infizierten Endgerät.
Die Sicherheitsforscher wiesen nach, dass JSCeal Anfragen unmittelbar vom Gerät des Opfers aus versendet. Durch diese Methode wird der Sicherheitsmechanismus der 2FA ausgehebelt, da das System des Anbieters die Anfrage als legitim vom bekannten Gerät stammend einstuft. Auf diesem Weg erlangen die Angreifer Zugriff auf neue OAuth-Tokens und damit dauerhaften Zugriff auf die betroffenen Google-Konten.
Technischer Aufbau und Tarnmechanismen
Die als Infostealer eingestufte Malware ist bereits seit mindestens März 2024 aktiv. Bis Juni 2026 wurden fortlaufend neue Varianten identifiziert, die sich technisch weiterentwickelt haben.
JSCeal verbirgt sich im V8-Bytecode und nutzt eine Node.js-Runtime für ihre Ausführung. Zur Erschwerung der Entdeckung setzen die Entwickler auf komplexe Verschleierungstechniken, darunter einen JavaScript-Obfuscator mit RC4-Verschlüsselung und Control-Flow-Flattening.
Bereits im November 2025 wurden Varianten mit einer AES-256-CBC-Verschlüsselung beobachtet, die zudem eine Unterstützung für das Betriebssystem macOS boten. Ein wesentliches Merkmal der Malware ist ihre Fähigkeit, sich im Arbeitsspeicher (RAM) aufzubauen, was herkömmliche signaturbasierte Sicherheitslösungen vor Herausforderungen stellt.
Wer sich vor derartigen Angriffen auf persönliche Konten schützen möchte, findet in diesem kostenlosen Ratgeber die wichtigsten Grundlagen zur Absicherung digitaler Identitäten. 4,7 Millionen gehackte Konten pro Quartal – so schützen Sie sich jetzt kostenlos
Fokus auf Einzelhändler und Krypto-Plattformen
Im Rahmen der Kampagne „SourTrade“, die seit Ende 2024 registriert wird, verbreitet sich JSCeal vor allem über Malvertising. Dabei werden manipulierte Anzeigen auf Plattformen wie Facebook und Google geschaltet, die Nutzer auf präparierte Seiten locken. Diese Kampagne zielt nachweislich auf Einzelhändler in 12 Ländern ab und wird in 25 verschiedenen Sprachen ausgespielt.
Die Funktionalität der Malware geht über den Diebstahl von Google-Zugangsdaten hinaus. JSCeal scannt gezielt eine Vielzahl von Chromium-basierten Browsern, darunter Google Chrome, Microsoft Edge, Brave, Vivaldi sowie Opera und Opera GX. Auch Browser wie Avast und C?c C?c sind betroffen. Neben Cookies und Passwörtern entwendet die Software Telegram-Sitzungsdaten, fertigt Screenshots an und protokolliert Tastatureingaben per Keylogging.
Ein weiterer Schwerpunkt liegt auf dem Diebstahl von Kryptowährungen. JSCeal installiert zu diesem Zweck einen lokalen Proxy samt eigenem Zertifikat auf dem betroffenen System. Damit werden Man-in-the-Middle-Angriffe auf Plattformen wie Binance, Bybit und Ledger ermöglicht, um Transaktionsdaten abzugreifen oder Sitzungen zu manipulieren.
Da herkömmliche Passwörter oft die größte Schwachstelle bei Cyberangriffen darstellen, erklären Experten in diesem kostenlosen Report eine sichere Alternative, die Hackern keine Chance mehr lässt. Sicher, bequem und passwortlos: Jetzt Gratis-Report zu Passkeys anfordern
Analyse mittels künstlicher Intelligenz
Check Point Research, deren erste Dokumentation der Malware im Juli 2025 erfolgte, präsentierte aktuelle Forschungsergebnisse zu JSCeal auf der Fachkonferenz Black Hat USA 2026. Um der starken Obfuskierung des Codes zu begegnen, entwickelten die Experten eine spezielle Deobfuskierungs-Pipeline. Diese nutzt das Werkzeug View8 sowie moderne Sprachmodelle wie Claude und GPT, um den Schadcode für die Analyse lesbar zu machen.
Die Untersuchungsergebnisse von Check Point Research zur Funktionsweise und Verbreitung von JSCeal wurden laut Branchenberichten von weiteren Sicherheitsdienstleistern wie Malwarebytes und Cato Networks bestätigt. Die Verbreitungswege umfassen neben Malvertising und klassischen Phishing-Angriffen auch Manipulationen in der Software-Lieferkette (Supply-Chain).
