Metode pengayaan JavaScript baru yang memanfaatkan karakter unicode yang tidak terlihat untuk mewakili nilai -nilai biner sedang dilecehkan secara aktif dalam serangan phishing yang menargetkan afiliasi dari Komite Aksi Politik Amerika (PAC).
Laboratorium Ancaman Juniper yang melihat serangan itu melaporkan bahwa itu terjadi pada awal Januari 2025 dan membawa tanda -tanda kecanggihan seperti penggunaan:
- Informasi non-publik yang dipersonalisasi untuk menargetkan korban,
- Breakpoint debugger dan pemeriksaan waktu untuk menghindari deteksi,
- Tautan pelacakan pos yang dibungkus secara rekursif untuk mengaburkan tujuan phishing akhir.
Pengembang Javascript Martin Kleppe pertama kali diungkapkan Teknik pengayaan pada Oktober 2024, dan adopsi cepat dalam serangan aktual menyoroti seberapa cepat penelitian baru menjadi senjata.
Membuat payload JS “tidak terlihat”
Teknik pengayaan baru mengeksploitasi karakter unicode yang tidak terlihat, khususnya hangul setengah lebar (u+ffa0) dan hangul lebar penuh (u+3164).
Setiap karakter ASCII dalam muatan JavaScript dikonversi menjadi representasi biner 8-bit, dan nilai-nilai biner (yang dan nol) di dalamnya diganti dengan karakter hangul yang tidak terlihat.
Kode yang dikaburkan disimpan sebagai properti dalam objek JavaScript, dan karena karakter pengisi hangul diterjemahkan sebagai ruang kosong, muatan dalam skrip terlihat kosong, seperti yang ditunjukkan oleh ruang kosong di akhir gambar di bawah ini.
Sumber: Juniper
Script bootstrap pendek mengambil muatan tersembunyi menggunakan proxy javascript ‘get () trap.’ Ketika properti tersembunyi diakses, proxy mengubah karakter pengisi Hangul yang tidak terlihat kembali menjadi biner dan merekonstruksi kode JavaScript asli.
Analis Juniper melaporkan bahwa penyerang menggunakan langkah-langkah penyembunyian tambahan selain hal di atas, seperti mengkode skrip dengan base64 dan menggunakan cek anti-debugging untuk menghindari analisis.
Sumber: Juniper
“Serangan itu sangat personal, termasuk informasi non-publik, dan JavaScript awal akan mencoba untuk memohon breakpoint debugger jika sedang dianalisis, mendeteksi penundaan, dan kemudian membatalkan serangan dengan mengarahkan kembali ke situs web jinak,” menjelaskan Juniper.
Serangan itu sulit dideteksi karena whitespace kosong mengurangi kemungkinan bahwa bahkan pemindai keamanan akan menandai itu sebagai jahat.
Karena muatan hanyalah properti dalam suatu objek, itu dapat disuntikkan ke dalam skrip yang sah tanpa menimbulkan kecurigaan; Plus, seluruh proses pengkodean mudah diimplementasikan dan tidak memerlukan pengetahuan lanjutan.
Juniper mengatakan dua domain yang digunakan dalam kampanye ini sebelumnya dikaitkan dengan Kit phishing taipan 2fa.
Jika demikian, kita mungkin akan melihat metode kebingungan yang tidak terlihat ini diadopsi oleh serangkaian penyerang yang lebih luas di masa depan.
