JSCeal: มัลแวร์ขโมยคุกกี้ Chrome แล้วรีเพลย์เซสชัน Google บนเครื่องเดิม
ถ้าคุณใช้ Chrome / Edge / Brave / Opera แล้วเคยโหลดโปรแกรมเทรดคริปโตจากโฆษณาปลอม ข่าวนี้เกี่ยวคุกกี้ล็อกอิน Google ของคุณโดยตรงครับ
The Hacker News สรุปเมื่อ 7 กันยายน 2026 จากงาน Check Point Research ว่ามัลแวร์ชื่อ JSCeal ไม่ได้แค่ส่งคุกกี้ไปเซิร์ฟเวอร์โจร แต่พยายาม รีเพลย์เซสชันบนเครื่องเหยื่อเอง เพื่อขอโทเคน Google ชุดใหม่
JSCeal คืออะไรแบบสั้นๆ
Check Point ติดตาม JSCeal มาตั้งแต่ต้นปี 2025 มันเป็น stealer ที่โฟกัสคริปโตเป็นหลัก แต่มีความสามารถกว้างกว่านั้น
- เพย์โหลดมาเป็น compiled V8 bytecode (ไฟล์
.jsc) รันผ่าน Node.js ที่มากับตัวติดตั้ง — วิเคราะห์ยาก - แคมเปญเก่าใช้โฆษณาปลอมพาไปหน้าเทรดคริปโตปลอม แล้วให้ดาวน์โหลดตัวติดตั้งคล้าย TradingView
- โมดูลขโมยเบราว์เซอร์เล็ง Chromium หลายตัว เช่น Chrome, Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi, Cốc Cốc
- จากโปรไฟล์เบราว์เซอร์มันดึงคุกกี้ รหัสที่บันทึกไว้ และข้อมูลล็อกอินอื่น
งานวิเคราะห์ล่าสุดของ Check Point เน้นการแกะ bytecode แบบ static (ไม่ต้องรันมัลแวร์) จนเห็นฟังก์ชันขโมยข้อมูล keylogging ถ่ายหน้าจอ และดัก HTTPS ผ่านใบรับรองที่ติดตั้งบนเครื่อง
ทำไม “รีเพลย์บนเครื่องเดิม” ถึงน่ากลัว
มัลแวร์ขโมยคุกกี้ทั่วไปมักส่งคุกกี้ไปเครื่องโจร แล้วโจรลองล็อกอินจากที่อื่น — Google มักเตือนเพราะ IP/อุปกรณ์เปลี่ยน
JSCeal ตามโค้ดที่ Check Point กู้คืนมา จะ
- เปิดเบราว์เซอร์ที่ติดตั้งอยู่บนเครื่องเหยื่อ
- ฉีดคุกกี้ที่ขโมยได้เข้าไป
- เดินโฟลว์ยืนยันตัวตนของ Google จากเครื่องเดิม (IP และบริบทอุปกรณ์ยังดูคุ้น)
- พยายามได้โทเคน OAuth ใหม่สำหรับใช้ต่อ
สื่อหลายแห่งสรุปว่าวิธีนี้ช่วยเลี่ยงการป้องกันแบบ risk-based login ได้ดีกว่าการยิงคุกกี้จากเซิร์ฟเวอร์โจร — แต่ Check Point ย้ำว่าข้อสรุปมาจากโค้ดที่กู้คืน ไม่ได้ยืนยันว่าสำเร็จกับทุกเวอร์ชันของหน้าล็อกอิน Google
ผมไม่ลงคำสั่งหรือสคริปต์โจมตี เพราะไม่จำเป็นต่อการป้องกัน
สิ่งที่คนทั่วไปควรทำ
- อย่าติดตั้งโปรแกรมเทรด/วอลเล็ตจากโฆษณาหรือลิงก์แชร์ที่ไม่รู้จัก — เข้าเว็บทางการเอง
- ใช้ส่วนขยายหรือเครื่องมือที่บล็อกมัลแวร์โฆษณา และอัปเดต Windows + แอนตี้ไวรัสให้ทัน
- ถ้าสงสัยเครื่องติดเชื้อ: สแกนด้วยเครื่องมือจากผู้ขายที่ไว้ใจ แล้ว ออกจากเซสชัน Google ทุกเครื่อง จากบัญชีของฉัน → ความปลอดภัย → อุปกรณ์ของคุณ
- เปิด passkey หรือ security key สำหรับ Google เมื่อทำได้ — ช่วยลดความเสี่ยงเมื่อรหัสถูกขโมย แต่ถ้าเครื่องติดมัลแวร์อยู่ ยังต้องเคลียร์เครื่องก่อน
- อย่าเก็บรหัสคริปโต/วอลเล็ตเฉพาะในเบราว์เซอร์บนเครื่องที่เสี่ยง
Recap
- JSCeal = stealer คริปโตที่ขโมยคุกกี้ Chromium และพยายามรีเพลย์เซสชัน Google บนเครื่องเดิม
- จุดเข้าพบบ่อยคือโฆษณาปลอม + ตัวติดตั้งปลอม อย่าโหลดจากโฆษณา
- สงสัยติดเชื้อ → สแกนเครื่อง + ตัดเซสชัน Google ทุกที่ + เปลี่ยนรหัสที่สำคัญ
- ที่มา: Check Point Research / The Hacker News