JQueryingU

NOTE:

Il codice di rilevamento lato client di base è stato creato da Christian Ludwig (https://jsfiddle.net/ChristianL/AVyND/) ed è stato utilizzato da APT 29 nel 2016. APT 29 ha modificato il popup trasformandolo in una richiesta POST e lo ha utilizzato durante una campagna di sorveglianza in una conferenza per profilare i sistemi degli utenti e capire chi cliccava prima di inviare payload dannosi.

Il codice è stato modificato per inviare le informazioni tramite una richiesta GET di analisi fasulla codificata in Base64, anziché una POST in chiaro come quella usata da APT 29. Il supporto per il rilevamento di Flash è stato aggiunto tramite https://ajax.googleapis.com/ajax/libs/swfobject/2.2/swfobject.js all'interno dello script. La finestra del documento è stata aggiunta al log dello script, così da poter fornire a ogni target un URI univoco tramite FiercePhish o manualmente e poi associare il sistema all'utente.

L'intero script è stato minimizzato e poi compresso prima di essere aggiunto al jquery legittimo: https://code.jquery.com/jquery-2.2.4.min.js, così da poter usare lo script per un doppio scopo e superare potenzialmente il test di rilevamento del SOC di primo livello.

Esempio di output del log:

[Mon Apr 16 11:51:17 2018] ::1:63582 [200]: /analytics.gif?uid=aHR0cDovL2xvY2FsaG9zdDo4MDAwL2luZGV4LnBocD9pZD1zYW18T1M6IE1hYyBPUyBYIDEwLjEzfEJyb3dzZXI6IEZpcmVmb3ggNjAgKDYwLjApfE1vYmlsZTogZmFsc2V8Rmxhc2g6IDI5LjAgcjB8SmF2YTogZmFsc2V8Q29va2llczogdHJ1ZXxTY3JlZW4gU2l6ZTogMTY4MCB4IDEwNTB8TGFuZ3VhZ2U6IGVuLVVTfEZ1bGwgVXNlciBBZ2VudDogTW96aWxsYS81LjAgKE1hY2ludG9zaDsgSW50ZWwgTWFjIE9TIFggMTAuMTM7IHJ2OjYwLjApIEdlY2tvLzIwMTAwMTAxIEZpcmVmb3gvNjAuMA==

Esempio di output del log decodificato in base 64:

Idee future: script per l'hypervisor che avvisa su user agent sospetti (crawler falsi, wget, curl, virustotal cloud, ecc.).

JQueryingU

Più Popolari

JQueryingU

NOTE:

Esempio di output del log:

Esempio di output del log decodificato in base 64: