Verwendung unsichtbarer Unicode-Zeichen zur Verschleierung von Aktionen im JavaScript-Code

Nach der Trojan Source-Angriffs-Methode, die auf der Verwendung von Unicode-Zeichen basiert, die die Anzeigereihenfolge von bidirektionalem Text ändern, wurde eine weitere Technik zur Einbettung versteckter Aktionen veröffentlicht, die für Code in JavaScript anwendbar ist. Diese neue Methode basiert auf der Verwendung des Unicode-Zeichens „ㅤ“ (Code 0x3164, „HANGUL FILLER“), das zu den Buchstaben gehört, aber keinen sichtbaren Inhalt hat. Die Unicode-Kategorie, zu der dieses Zeichen gehört, ist seit der Spezifikation ECMAScript 2015 für die Verwendung in Variablennamen von JavaScript zulässig, was es ermöglicht, unsichtbare Variablen oder neue Variablen zu erstellen, die sich nicht von anderen Variablen in beliebten Code-Editoren wie Notepad++ und VS Code unterscheiden lassen.

Als Beispiel wird Code für die Node.js-Plattform angegeben, in dem durch eine Variablen, die aus einem Zeichen „ㅤ“ besteht, ein Backdoor verborgen ist, das es ermöglicht, den vom Angreifer angegebenen Code auszuführen: app.get(‘/network_health’, async (req, res) => { const { timeout,ㅤ} = req.query; // tatsächlich steht hier „const { timeout,ㅤ \u3164}“ const checkCommands = [ 'ping -c 1 google.com', 'curl -s http://example.com/',ㅤ // nach dem Komma folgt das Zeichen \u3164 ];

Auf den ersten Blick wird über den externen Parameter nur der Wert für den Timeout übergeben, während das Array mit den auszuführenden Befehlen eine harmlose feste Liste enthält. In der Realität wird jedoch nach der Timeout-Variablen der Wert einer weiteren unsichtbaren Variablen mit dem Zeichencode \u3164 zugewiesen, die ebenfalls in das Array der auszuführenden Befehle eingefügt wird. So kann ein Angreifer, bei Vorliegen einer solchen Konstruktion, um den Backdoor zu aktivieren und eigenen Code auszuführen, eine Anfrage wie „https://host:8080/network_health?=команда“ senden.

Als weiteres Beispiel wird das Zeichen „ǃ“ (ALVEOLAR CLICK) angeführt, das verwendet werden kann, um die Anzeichen eines Ausrufezeichens zu erzeugen. Beispielsweise wird der Ausdruck „if(environmentǃ=ENV_PROD){“ bei Ausführung in Node.js 14 immer wahr sein, da dabei keine Unterschiedsprüfung stattfindet, sondern der Variable „environmentǃ“ der Wert ENV_PROD zugewiesen wird. Zu den irreführenden Unicode-Zeichen gehören auch „／“, „−“, „＋“, „⩵“, „❨“, „⫽“, „꓿“ und „∗“.

Quelle: opennet.ru