Що робить обфускатор JavaScript?
JavaScript-обфускатор розроблений для того, щоб брати чистий, зрозумілий для людини код та перетворювати його на щось ледь читабельне, що ускладнює його розуміння або зворотне проектування. Ці інструменти перейменовують змінні та функції, видаляють пробіли, вирівнюють структури коду та застосовують такі методи, як розділення рядків, шістнадцяткове кодування або вирівнювання потоку керування. Хоча метою часто є захист інтелектуальної власності або зменшення розміру файлу, результуюча складність також забезпечує ідеальне прикриття для шкідливого програмного забезпечення JavaScript. Ось чому багато команд безпеки звертаються до інструментів деобфускатора JavaScript для аналізу перетвореного коду та виявлення прихованої поведінки.
Наприклад, щось таке просте, як:
function greet(name) { return `Hello, ${name}`; } Might become: function _0x1a2b(_0x3c4d){return'Hello, '+_0x3c4d;} Для розробників, що реалізують клієнтську логіку (наприклад, SaaS на основі браузера), обфускатор JavaScript є частиною інструментарію. Але ця ж трансформація робить його ідеальним прикриттям для шкідливого програмного забезпечення JavaScript.
Як зловмисники використовують обфускацію, щоб приховати шкідливе програмне забезпечення JavaScript
Зловмисники використовують інструменти обфускатора JavaScript для маскування шкідливе програмне забезпечення, впроваджене в бібліотеки з відкритим кодом, npm-пакети, або безпосередньо у скрипти браузера. Поширеною схемою є приховування корисних навантажень всередині обфускованих функцій, які запускаються під час виконання за певних умов.
Розглянемо скомпрометований npm-пакет. На перший погляд, все виглядає законно. Але глибший аналіз виявляє завуальований JavaScript, що посилається на закодовані рядки, віддалені URL-адреси або динамічні eval () дзвінки:
(function(_0xa1b2c){var _0xd3e4=['/(function(_0xa1b2c){var _0xd3e4=['\x2fapi/(function(_0xa1b2c){var _0xd3e4=['\x2fapi\x2fsteal','...']; ...eval(atob(_0xd3e4[0]));})(this); Це не стиснення. Це прикриття. Тут ховається шкідливе програмне забезпечення JavaScript, яке чекає, щоб викрасти токени, впровадити фішингові форми або підвищити дозволи всередині програм.
Реальні ризики в AppSec та ланцюжку поставок
Сучасне програмне забезпечення pipelineпобудовані на сторонньому коді. Шкідливе програмне забезпечення JavaScript, вбудоване через обфусковані скрипти, — це не просто дірка в безпеці; це порушення ланцюга поставок. Як тільки обфусковане шкідливе програмне забезпечення потрапляє в спільну бібліотеку, воно поширюється:
- У збірки CI через package.json
- У фронтенд-пакети через Webpack/Rollup
- У продакшн через CDN або ін'єкції скриптів
Наприклад, інцидент із потоком подій показав, як зловмисники використовували обфускацію для розміщення корисних навантажень у широко використовуваних пакетах. Розробники рідко перевіряють глибоко обфускований код, що робить його ідеальним місцем для сховання.
Ризик не теоретичний. Він вже є у вашому коді, якщо ваші залежності не скануються.
Виявлення обфускованого коду за допомогою інструментів деобфускатора JavaScript
Щоб виявити приховані загрози, команди використовують інструменти деобфускатора JavaScript. Вони аналізують шаблони обфускованого коду, декодують рядки та виявляють тривожні сигнали, такі як динамічні eval (), заплутані цикли та непотрібна складність.
Корисні деобфускатори не просто переформатують код; вони позначають:
- Використання функція, евал та setTimeout із закодованими корисними навантаженнями
- Довгі послідовності рядків Base64 або шістнадцяткових рядків
- Згладжування потоку керування або впровадження мертвого коду
Автоматизовані інструменти, такі як статичні аналізатори або AST-парсери, допомагають виявляти ці закономірності. Вони є першою лінією захисту під час перевірки залежностей або перевірки оновлень пакетів.
Приклад: інтегруйте сканування деобфускації в перевірки перед об'єднанням, щоб уникнути об'єднання прихованих загроз.
Інтеграція виявлення в CI/CD Pipelines
Виявлення не є завданням після розгортання. Сканування на обфускацію має бути частиною CI/CD pipeline. Використовувати Дії GitHub, GitLab CIабо Дженкінс запускати сканування при кожному надсиланні або злиття.
типовий pipeline потік:
jobs: security-check: steps: - uses: actions/checkout@v2 - name: Scan for Obfuscation run: node scripts/deobfuscate-scan.jsЗа допомогою застосування політик ви можете блокувати збірки, що містять ризикований обфускований код. Поєднайте це з SCA інструменти для перехресного посилання на відомі сигнатури шкідливого програмного забезпечення в npm-пакетах.
Не чекайте несподіванок під час виконання. Зробіть це відхиленням під час збірки.
Прихована ціна обфускації: боротьба зі шкідливим програмним забезпеченням JavaScript за допомогою деобфускаторів
Інструменти обфускатора JavaScript мають законне застосування. Але зловмисники покладаються на них, щоб приховати шкідливе програмне забезпечення JavaScript та зловживати довірою до екосистеми відкритого коду. Реальний ризик у AppSec полягає не лише в тому, що ви пишете, а й у тому, що ви імпортуєте. Вбудовуючи сканування деобфускатора JavaScript та статичний аналіз у CI/CD pipelineКоманди розробників можуть виявляти загрози на ранній стадії. Ставтеся до обфускованого коду в залежностях з підозрою, особливо коли він неочікуваний.
Такі інструменти, як Ксігені створені, щоб допомогти командам DevSecOps отримати уявлення про обфускацію та ризики ланцюга поставок в екосистемах JavaScript. Використовуйте їх для покращення вашого pipeline та виявити, що приховано у вашому коді, перш ніж він потрапить у продакшн.
Ксігені виходить за рамки базового сканування, аналізуючи шаблони обфускації JavaScript, позначаючи потенційне шкідливе програмне забезпечення JavaScript та відстежуючи ризиковану поведінку в пакетах по всьому ланцюжку постачання програмного забезпечення. Він бездоганно інтегрується в CI/CD pipelines, що дозволяє автоматизоване управління якістю та безпекою коду.
Залишайтеся параноїком. Скануйте все. І пам’ятайте: якщо щось виглядає як нісенітниця, ймовірно, варто переглянути це ще раз.
