JSCeal 编译版 V8 字节码的静态去混淆分析

Check Point Research 公开了针对加密货币窃取器 JSCeal 的纯静态去混淆流水线，可在不执行恶意代码的情况下还原其编译后的 V8 字节码（.jsc）载荷，工具包已以 jsc_deobfuscator 名义发布。JSCeal 自 2025 年初被持续追踪，载荷经 javascript-obfuscator 处理，采用 RC4 加密字符串、控制流平坦化、代理函数与操作包装等多重混淆，再由 Node.js 运行时执行。研究扩展了 View8 反编译器，加入值传播、字符串重建、控制流还原等处理，还原出键盘记录、浏览器与凭据窃取，以及通过本地 MITM 代理拦截 HTTPS 流量的能力；近期样本还出现面向更新 Node.js/V8 版本的代码缓存、额外载荷加密层与 macOS 目标。