Existen métodos que permiten hacer indetectable un payload de JavaScript, incluso ante sistemas de seguridad avanzados. Un artículo publicado por Elliot Killick describe cómo lograrlo mediante el uso del ofuscamiento y herramientas como Ofuscator, desarrollada por Timofey Kachalov.
Ofuscación para evitar la detección
La técnica descrita en el artículo se basa en el ofuscamiento de código JavaScript. Este proceso transforma el script original en una versión difícil de leer, lo que dificulta su análisis por parte de los sistemas de seguridad. La aplicación de esta metodología permite que un payload sea completamente indetectable para herramientas como firewalls de próxima generación (NGFW).
Aplicaciones prácticas: HTML Smuggling
Una técnica común utilizada por atacantes es el HTML Smuggling, también conocida como contrabando de HTML. Esta estrategia implica ocultar un archivo malicioso dentro de un script JavaScript, con la intención de que la víctima lo descargue sin sospechar su verdadero propósito.
Los correos electrónicos suelen ser una vía común para entregar archivos maliciosos. Sin embargo, los proveedores de correo electrónico como Gmail o Outlook suelen bloquear los archivos adjuntos con extensiones sospechosas. Por esta razón, se recurre a la entrega mediante enlaces que apuntan a sitios web.
Los defensores han desarrollado firmas para detectar este tipo de ataques, pero el ofuscamiento permite que estos scripts evadan las detecciones iniciales. Aunque los antivirus como VirusTotal pueden identificar algunos casos, la detección no es completa ni siempre precisa.
Ofuscador.io: una herramienta clave
Para lograr un mayor nivel de indetectabilidad, se recomienda utilizar herramientas como obfuscator.io. El proceso consiste en pegar el código JavaScript y presionar el botón «OFUSCAR». Esta acción transforma el script original en una versión que es difícil de analizar.
En caso de estar «contrabandeando» un archivo binario, se sugiere activar la opción de cifrado RC4. Este paso ayuda a eliminar cualquier rastro que pueda ser utilizado por los NGFW para identificar el payload.
Contexto y limitaciones
Aunque la ofuscación puede parecer una señal de alerta, en el mundo del JavaScript es común encontrar scripts minificados o ofuscados. Esto se debe a que su uso ayuda a reducir el tamaño de los archivos y proteger el código propietario. Por esta razón, mezclarse con este tipo de scripts legítimos dificulta la detección por parte de sistemas de seguridad.
La técnica descrita en el artículo se centra en la evasión de NGFW mediante ofuscación y HTML Smuggling. Aunque no garantiza una protección absoluta, es una herramienta efectiva para evitar la detección inicial del payload.