JQueryingU

ПРИМЕЧАНИЯ:

Базовый код обнаружения на стороне клиента создан Кристианом Людвигом (https://jsfiddle.net/ChristianL/AVyND/) и использовался APT 29 в 2016 году. APT 29 модифицировал всплывающее окно, превратив его в POST-запрос, и использовал его во время кампании по слежке за конференцией для профилирования систем пользователей и определения того, кто кликал, перед отправкой вредоносных полезных нагрузок.

Код был изменён для отправки информации через Base64-закодированный поддельный аналитический GET-запрос вместо открытого текстового POST-запроса, использовавшегося APT 29. Поддержка обнаружения Flash добавлена через https://ajax.googleapis.com/ajax/libs/swfobject/2.2/swfobject.js внутри скрипта. Окно документа было добавлено в журнал скрипта, чтобы вы могли передавать каждой цели уникальный URI через FiercePhish или вручную, а затем сопоставлять систему с пользователем.

Весь скрипт был минифицирован, а затем упакован перед добавлением к легитимному jquery: https://code.jquery.com/jquery-2.2.4.min.js, чтобы вы могли использовать скрипт для двойных целей, и он мог пройти проверку на запах первого уровня SOC.

Пример вывода журнала:

[Mon Apr 16 11:51:17 2018] ::1:63582 [200]: /analytics.gif?uid=aHR0cDovL2xvY2FsaG9zdDo4MDAwL2luZGV4LnBocD9pZD1zYW18T1M6IE1hYyBPUyBYIDEwLjEzfEJyb3dzZXI6IEZpcmVmb3ggNjAgKDYwLjApfE1vYmlsZTogZmFsc2V8Rmxhc2g6IDI5LjAgcjB8SmF2YTogZmFsc2V8Q29va2llczogdHJ1ZXxTY3JlZW4gU2l6ZTogMTY4MCB4IDEwNTB8TGFuZ3VhZ2U6IGVuLVVTfEZ1bGwgVXNlciBBZ2VudDogTW96aWxsYS81LjAgKE1hY2ludG9zaDsgSW50ZWwgTWFjIE9TIFggMTAuMTM7IHJ2OjYwLjApIEdlY2tvLzIwMTAwMTAxIEZpcmVmb3gvNjAuMA==

Пример вывода журнала с декодированием base 64:

Будущие идеи: скрипт для гипервизора, который предупреждает о подозрительных пользовательских агентах (поддельные краулеры, wget, curl, облако virustotal и т. д.).

JQueryingU

Популярное

JQueryingU

ПРИМЕЧАНИЯ:

Пример вывода журнала:

Пример вывода журнала с декодированием base 64: