クライアント側検出コードの基本部分はChristian Ludwig (https://jsfiddle.net/ChristianL/AVyND/) によって作成され、2016年にAPT 29によって使用されました。APT 29はポップアップをPOSTリクエストに変更し、会議シャドーイングキャンペーン中に、悪意のあるペイロードを送信する前にユーザーのシステムと誰がクリックしたかをプロファイリングするために使用しました。
コードは、APT 29が使用した平文のPOSTではなく、Base64エンコードされた偽のアナリティクスGETリクエストを介して情報を送信するように変更されています。Flash検出のサポートは、スクリプト内のhttps://ajax.googleapis.com/ajax/libs/swfobject/2.2/swfobject.js を介して追加されています。ドキュメントウィンドウがスクリプトログに追加されたため、FiercePhishまたは手動で各ターゲットに一意のURIを提供し、システムをユーザーに対応付けることができます。
スクリプト全体は縮小化され、その後パックされてから正規のjquery: https://code.jquery.com/jquery-2.2.4.min.js に追加されました。これにより、スクリプトを二重の目的で使用でき、ティア1 SOCのスニフテストに合格する可能性があります。
[Mon Apr 16 11:51:17 2018] ::1:63582 [200]: /analytics.gif?uid=aHR0cDovL2xvY2FsaG9zdDo4MDAwL2luZGV4LnBocD9pZD1zYW18T1M6IE1hYyBPUyBYIDEwLjEzfEJyb3dzZXI6IEZpcmVmb3ggNjAgKDYwLjApfE1vYmlsZTogZmFsc2V8Rmxhc2g6IDI5LjAgcjB8SmF2YTogZmFsc2V8Q29va2llczogdHJ1ZXxTY3JlZW4gU2l6ZTogMTY4MCB4IDEwNTB8TGFuZ3VhZ2U6IGVuLVVTfEZ1bGwgVXNlciBBZ2VudDogTW96aWxsYS81LjAgKE1hY2ludG9zaDsgSW50ZWwgTWFjIE9TIFggMTAuMTM7IHJ2OjYwLjApIEdlY2tvLzIwMTAwMTAxIEZpcmVmb3gvNjAuMA==
http://localhost:8000/index.php?id=sam|OS: Mac OS X 10.13|Browser: Firefox 60 (60.0)|Mobile: false|Flash: 29.0 r0|Java: false|Cookies: true|Screen Size: 1680 x 1050|Language: en-US|Full User Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.13; rv:60.0) Gecko/20100101 Firefox/60.0
今後のアイデア: 不審なユーザーエージェント（偽クローラー、wget、curl、virustotalクラウドなど）を警告するハイパーバイザースクリプト。
