難読化バイトコードで検知を逃れるJSCeal ｜ブログ(ほぼこもセキュリティニュース)

JSCeal（別名：WEEVILPROXY, MeadowLocust）は、暗号資産（仮想通貨）の窃取やアカウント情報・資格情報の盗難、システム監視、通信ログの傍受・改ざんを目的とした高度なスティーラー（情報窃取型）マルウェアです。
主に暗号資産投資家や個人トレーダーを標的として拡散されています。
本マルウェアの最大の特徴は、一般的なJavaScript（ソースコード形式）ではなく、二重の難読化を行った上でV8エンジン用のバイトコード（.jscファイル）にコンパイルして配信されている点です。
これにより従来の標準的なソースコード解析ツールや動的解析（サンドボックス）による検知・分析を高度に回避します。
特徴的な部分をみてみましょう。

二重の難読化とV8バイトコードコンパイル（高度な解析回避）
- 仕組み
  ソースコード段階で javascript-obfuscator を使用し、変数名変換・文字列のRC4暗号化・制御フローの平坦化（Control-flow flattening）・プロキシ関数の挿入を実施します。その上でNode.js環境向けのV8バイトコード（.jsc）へコンパイルされて組み込まれます。
- 影響
  標準的なJavaScriptデコンパイラやスクリプト解析ツールが通用せず、静的解析やリバースエンジニアリングに膨大なコストを強います。
複数段階の難読化配信チェーン（MalvertisingとZIPアーカイブ）
- 仕組み
  悪質な広告（Malvertising）や偽サイト（TradingViewなどの偽インストーラー）から感染が始まります。
  難読化されたPowerShellスクリプトを介して組み込み用のNode.js実行環境（node.zip）とペイロードアーカイブ（build.zip）をダウンロード・展開し、正規のNode.jsプロセスからマルウェア本体（.jsc）を呼び出します。
- 影響
  多段階のスクリプトと配布アーカイブに分割し、正規ツール（Node.js）を悪用して実行させることで、境界セキュリティによるシグネチャ検知を回避します。
盗んだSession Cookieによる「Google等の認証回避（Session Replay）」
- 仕組み
  Chromium系ブラウザ（Chrome, Edge, Brave, Opera, Vivaldi等）のユーザーデータディレクトリから、保存されたパスワード、OAuthトークン、Session Cookieを包括的に抽出・復元します。
- 影響
  抽出したSession Cookieを悪用してセッションを再構築する「アクティブ・セッション再生攻撃（Session Replay）」を実行します。
  これにより、二要素認証（2FA/MFA）が有効化されているGoogleアカウント等の認証を突破し、不正アクセスを可能にします。
ローカルMITMプロキシによる通信の傍受・改ざん
- 仕組み
  端末内にローカルプロキシを立ち上げ、独自の証明書を生成・インストールすることで、HTTPS通信に対して中間者攻撃（MITM）を仕掛けます。
- 影響
  単なるパッシブな通信ログの監視（盗聴）にとどまらず、特定サービスに対するリクエスト/レスポンスの動的書き換えを行います。
  Binance、Bybit、Ledgerなどの主要な暗号資産プラットフォーム用の専用ハンドラーが用意されており、HTMLの置換や口座残高データの書き換え・窃取を実行します。
キーログ・スクリーンショット等の広範な監視機能
- 仕組み
  winpty などのネイティブモジュールを併用し、バックグラウンドでキー入力の記録（キーロガー）や画面キャプチャ（スクリーンショット）を定期的に取得します。
- 影響
  ブラウザ外で入力されたパスフレーズやウォレットのリカバリーフレーズ（シードフレーズ）なども漏洩するリスクがあります。

JSCealは、「V8バイトコードコンパイルによる解析妨害」と「ローカルプロキシ改ざん・セッション再生攻撃による強力な情報窃取」を組み合わせた、非常に脅威度の高いマルウェアです。
特に、二要素認証（2FA）が設定されている環境であっても、Session Cookieの奪取によって認証を潜り抜けられる点、および暗号資産取引所の通信内容をリアルタイムで改ざんする点には厳重な警戒が必要です。
さらに直近では、macOSへの対応やペイロードの更なる暗号化など、開発と進化が継続していることが確認されています。

組織や個人における対策としては、不審な広告や非公式サイトからのトレーディングツール等のダウンロードを避けること（Malvertising対策）に加え、万が一感染した場合に備えたセッション無効化手順の確立や、EDR等による非標準的なNode.jsプロセス（node.exe による .jsc や .js の読み込み）の異常検知を強化することが重要です。

Breaking the Seal: Static Deobfuscation of JSCeal’s Compiled V8 Bytecode
https://research.checkpoint.com/2026/breaking-the-seal-static-deobfuscation-of-jsceals-compiled-v8-bytecode/