JQueryingU

참고 사항:

기본 클라이언트 측 탐지 코드는 Christian Ludwig(https://jsfiddle.net/ChristianL/AVyND/)가 작성했으며, 2016년 APT 29이 사용했습니다. APT 29은 팝업을 POST 요청으로 수정했고, 악성 페이로드를 보내기 전에 사용자 시스템과 클릭한 사용자를 프로파일링하기 위해 컨퍼런스 섀도잉 캠페인 중에 이를 사용했습니다.

코드는 APT 29이 사용한 일반 텍스트 POST 대신 Base64로 인코딩된 가짜 분석 GET 요청을 통해 정보를 전송하도록 수정되었습니다. Flash 탐지 지원은 스크립트 내부의 https://ajax.googleapis.com/ajax/libs/swfobject/2.2/swfobject.js를 통해 추가되었습니다. 문서 창이 스크립트 로그에 추가되어 FiercePhish 또는 수동으로 각 대상에 고유한 URI를 제공한 다음 시스템을 사용자와 대응시킬 수 있습니다.

전체 스크립트는 축소된 후 패킹되어 합법적인 jquery: https://code.jquery.com/jquery-2.2.4.min.js에 추가되었으므로 이중 목적으로 스크립트를 사용할 수 있으며 1차 SOC의 스니프 테스트를 통과할 수도 있습니다.

로그 출력 예시:

[Mon Apr 16 11:51:17 2018] ::1:63582 [200]: /analytics.gif?uid=aHR0cDovL2xvY2FsaG9zdDo4MDAwL2luZGV4LnBocD9pZD1zYW18T1M6IE1hYyBPUyBYIDEwLjEzfEJyb3dzZXI6IEZpcmVmb3ggNjAgKDYwLjApfE1vYmlsZTogZmFsc2V8Rmxhc2g6IDI5LjAgcjB8SmF2YTogZmFsc2V8Q29va2llczogdHJ1ZXxTY3JlZW4gU2l6ZTogMTY4MCB4IDEwNTB8TGFuZ3VhZ2U6IGVuLVVTfEZ1bGwgVXNlciBBZ2VudDogTW96aWxsYS81LjAgKE1hY2ludG9zaDsgSW50ZWwgTWFjIE9TIFggMTAuMTM7IHJ2OjYwLjApIEdlY2tvLzIwMTAwMTAxIEZpcmVmb3gvNjAuMA==

로그 출력 Base64 디코딩 예시:

http://localhost:8000/index.php?id=sam|OS: Mac OS X 10.13|Browser: Firefox 60 (60.0)|Mobile: false|Flash: 29.0 r0|Java: false|Cookies: true|Screen Size: 1680 x 1050|Language: en-US|Full User Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.13; rv:60.0) Gecko/20100101 Firefox/60.0

향후 아이디어: 의심스러운 사용자 에이전트(가짜 크롤러, wget, curl, virustotal 클라우드 등)를 감지하여 경고하는 하이퍼바이저 스크립트.