Kit de sécurité pour l'analyse SVG – Documentation des outils

Cette boîte à outils contient des outils Python spécialisés pour analyser les fichiers SVG potentiellement malveillants et détecter les mécanismes de sécurité.

Vue d'ensemble

La boîte à outils comprend quatre outils principaux :

1. extract.py – Analyse statique pour l'extraction d'URL obfusquées
2. extract_dynamic.py – Analyse dynamique à l'aide de box-js pour l'exécution de JavaScript
3. cf_probe.py – Détection de la protection Cloudflare (Turnstile, CAPTCHA, etc.)
4. encoder.py – Générateur de cas de test pour créer des échantillons SVG obfusqués

---

Outil n°1 : extract.py – Extracteur statique d'URL SVG

Objectif

Un outil d'analyse statique basé sur des motifs qui décode les URL obfusquées à partir de fichiers SVG malveillants sans exécuter aucun code. C'est l'option la plus sûre pour l'analyse initiale.

Principales fonctionnalités

• Décodage XOR : Détection et décodage automatiques des charges utiles chiffrées par XOR
• Arithmétique de caractères : Décode les motifs String.fromCharCode avec des calculs numériques
• Extraction Base64 : Trouve et décode les URL encodées en Base64
• Détection d'e-mails : Identifie les adresses e-mail utilisées dans la concaténation d'URL
• Plusieurs stratégies d'obfuscation : Gère diverses techniques de désovuscation

Utilisation

# Analyze a single SVG file
python3 extract.py -i malicious.svg

# Verbose output showing decoded JavaScript
python3 extract.py -i malicious.svg -v

# Debug mode with detailed analysis steps
python3 extract.py -i malicious.svg -d

# Read from stdin
python3 extract.py < malicious.svg

Principaux motifs de détection

1. Motif de clé secrète XOR : Détecte String.fromCharCode(115,101,99,...) (« secretkey »)
2. Détection de boucle XOR : Identifie les boucles for avec parseInt et des opérations XOR
3. Scripts d'URI de données : Extrait et décode le contenu Base64 des URI data:
4. atob() imbriqué + variable : Gère les motifs atob("base64") + variableName

Dépendances

• Python 3.6+ (utilise uniquement la bibliothèque standard)

Exemple de sortie

DYNAMIC SVG URL EXTRACTOR
=========================================================
SVG #1 Results:
----------------------------------------
Obfuscation: XOR decoding (key length: 9)
Extracted URLs:
  → https://malicious.example.com/[email protected]

---

Outil n°2 : extract_dynamic.py – Analyseur dynamique JavaScript SVG

Objectif

Un outil d'analyse dynamique sophistiqué qui extrait et analyse le JavaScript intégré dans les fichiers SVG à l'aide de box-js. Cet outil exécute le JavaScript dans un environnement sandbox et est conçu pour extraire les URL finales complètes même lorsqu'elles sont construites par une obfuscation complexe.

Principales fonctionnalités

• Exécution JavaScript : Utilise box-js pour exécuter en toute sécurité les scripts SVG
• Système de hooks avancé : Charge utile JavaScript de plus de 300 lignes avec une surveillance complète
• Suivi de la construction d'URL : Capture les URL construites dynamiquement par concaténation de chaînes
• Priorisation des URL finales : Fait la distinction entre les URL complètes et les composants partiels
• Surveillance ActiveX/WScript : Détection spécialisée des objets de script Windows
• Détection de multiples sinks : Surveille location, window.open, fetch, XHR, Image.src, etc.

Dépendances

# Required: box-js must be installed globally
npm install -g box-js

# Python requirements (optional)
pip install -r requirements.txt

Utilisation

# Basic analysis of a single SVG
python3 extract_dynamic.py -i malicious.svg

# Analyze with custom output directory
python3 extract_dynamic.py -i malicious.svg -o analysis_results

# Analyze directory of SVGs with extended timeout
python3 extract_dynamic.py -i svg_samples/ -t 60

# Keep temporary files for debugging
python3 extract_dynamic.py -i malicious.svg --keep-temp

# Save URL blocklist to file
python3 extract_dynamic.py -i malicious.svg --blocklist-out urls.txt

# Mask email addresses for privacy
python3 extract_dynamic.py -i malicious.svg --mask-emails

Fonctionnalités avancées

Système de hooks (PRELUDE_JS)

L'outil injecte une charge utile JavaScript complète qui intercepte :

• Opérations de localisation : location.href, location.assign(), location.replace()
• Méthodes de fenêtre : window.open(), méthodes de navigation
• Requêtes HTTP : fetch(), XMLHttpRequest.open()
• Opérations sur les chaînes : String.prototype.concat, manipulation de chaînes
• Décodeurs : atob(), decodeURI(), unescape()
• Exécution dynamique : eval(), Function(), setTimeout()

Reconnaissance de motifs

Détecte et gère automatiquement :

• Les motifs simples de décodage hexadécimal
• L'exécution dynamique encodée en hexadécimal
• La construction XOR + eval dynamique
• Le mappage de caractères + exécution via find()
• Les motifs arithmétiques de codes de caractères
• Les techniques d'obfuscation courantes

Exemple de sortie

=== Processing: malicious.svg ===
  Wrote temp JS -> /tmp/boxjs_svg_ABC/test.boxed.js
  Running box-js (timeout 30s) with sink hooks...
  [+] box-js finished. Results in: boxjs_out/malicious.svg.boxjs_results

  *** FINAL COMPLETE URLs FOUND ***:
    → https://evil.example.com/[email protected]
  
  Emails found:
    → [email protected]

=== FINAL ANALYSIS SUMMARY ===
🎯 COMPLETE URLs EXTRACTED (1 total):
======================================================
  → https://evil.example.com/[email protected]
======================================================

---

Outil n°3 : cf_probe.py – Détection de la protection Cloudflare

Objectif

Un outil de reconnaissance web pour détecter les mécanismes de sécurité Cloudflare, notamment Turnstile, les systèmes CAPTCHA, la vérification du navigateur et d'autres mesures de protection sur les chaînes de redirection.

Principales fonctionnalités

• Suivi des chaînes de redirection : Suit automatiquement les redirections HTTP et les redirections meta-refresh
• Plusieurs motifs de détection : Détecte Turnstile par diverses méthodes
• Analyse des fichiers JavaScript : Analyse les fichiers JS liés pour trouver des sitekeys supplémentaires
• Prise en charge de la compression : Gère les compressions gzip, deflate et brotli
• Détection complète de la protection : Identifie plusieurs types de protection Cloudflare

Dépendances

pip install requests
pip install brotli  # Optional for brotli support

Utilisation

# Check single URL for Cloudflare protections
python3 cf_probe.py https://example.com

# Scan with JavaScript file analysis
python3 cf_probe.py https://example.com --scan-js

# Process multiple URLs from file
python3 cf_probe.py -i urls.txt

# Custom User-Agent and timeout
python3 cf_probe.py https://example.com -A "Custom-Agent" -t 30

# Disable TLS verification (for testing)
python3 cf_probe.py https://example.com --insecure

# Dump HTML/JS for analysis
python3 cf_probe.py https://example.com --dump analysis_dump/

Capacités de détection

Détection Turnstile

• Attributs data-sitekey
• Appels JavaScript turnstile.render()
• Appels JavaScript turnstile.create()
• Références au script API Turnstile
• Classes CSS cf-turnstile

Autres protections Cloudflare

• Systèmes CAPTCHA personnalisés
• Pages de vérification du navigateur
• Conteneurs de défi CF
• En-têtes CF (CF-Ray, en-têtes serveur)
• Messages de protection contre les attaques DDoS

Exemple de sortie

=== Redirect/Navigation Chain (3 steps) ===

[0] URL: https://example.com
    Status: 301
    Cloudflare Protection: YES (CF Headers)
    CF Header: cf-ray: 123abc456def789