Akademi
TerimZararlı yazılım türü

JavaScript tabanlı infostealer’lar

JavaScript-based stealers

JavaScript ile yazılmış, tarayıcıda, Node.js ya da Electron uygulaması içinde çalışarak veri çalan zararlı kod.

Akış

  1. 1Paketlenir
  2. 2Çalışır
  3. 3Gönderir
İlgili aileler
—
MITRE ATT&CK
T1059.007 · JavaScript
Kaynak
5 kaynak
01

Genel bakış

JavaScript iki biçimde karşımıza çıkar: ödeme sayfalarına eklenen ve formları kopyalayan betikler, ya da Node.js ve Electron ile paketlenip masaüstü uygulaması gibi dağıtılan infostealer’lar. MITRE ATT&CK

Electron uygulamaları büyük ve meşru dosyalar içerdiği için zararlı kodu gizlemeye elverişlidir; dosya tarayıcıları yüzlerce megabaytlık bir paketin içindeki küçük bir betiği kolayca gözden kaçırabilir.

02

Nasıl çalışır

  1. 1

    Paketlenir

    Kod, oyun ya da araç görünümlü bir masaüstü uygulamasına gömülür. MITRE ATT&CK

  2. 2

    Çalışır

    Node.js çalışma ortamı tarayıcı dosyalarına ve sisteme doğrudan erişir. MITRE ATT&CK

  3. 3

    Gönderir

    Veri çoğunlukla bir web kancası ya da Telegram botu üzerinden iletilir. MITRE ATT&CK

03

Gerçek örnekler

Ödeme sayfalarında JavaScript

Sansec, Magecart saldırılarında ödeme sayfalarına eklenen JavaScript kodunun kart bilgilerini kopyalayıp saldırgana gönderdiğini anlatıyor. Sansec

04

Nasıl fark edilir

  • Node.js ya da Electron sürecinin tarayıcı profil klasörlerine erişmesi. MITRE ATT&CK
05

Ne yapılmalı

  • Uygulama denetimiyle yalnız onaylı Electron uygulamalarının çalışmasına izin verin. MITRE ATT&CK
06

MITRE ATT&CK

T1059.007JavaScriptT1036MasqueradingT1567Exfiltration Over Web Service
07

İlgili terimler

Terimler

Web skimmingInfostealerSiteler arası betik çalıştırma
08

Kaynaklar

  1. 1JavaScript (T1059.007) · MITRE ATT&CK
  2. 2Masquerading (T1036) · MITRE ATT&CK
  3. 3Exfiltration Over Web Service (T1567) · MITRE ATT&CK
  4. 4What is Magecart? · Sansec
  5. 5Behavior Prevention on Endpoint (M1040) · MITRE ATT&CK