Forscher entwickeln Technik zur Erkennung von schädlichem JavaScript-Code

Forscher von Akamai haben eine neue Technik entwickelt, die die Erkennung von schädlichem JavaScript-Code verbessern soll. Sie versuchen das Problem zu lösen, dass mehr als 25 Prozent des schädlichen JavaScript-Codes heute in sogenannten Packern versteckt wird. Sie erlauben es Angreifern, eine signaturbasierte Malware-Erkennung zu umgehen.

Packer komprimieren und verschlüsseln den JavaScript-Code, um ihn unlesbar zu machen und auch ein Debugging zu unterbinden. Allerdings sind JavaScript-Packer keine neue Bedrohung. Da sie generell als Alternative zu JavaScript-Bibliotheken eingesetzt werden, um den von Websites verursachten Datenverkehr zu reduzieren, sind sie als mögliches Versteck für Schadcode bereits seit 2008 bekannt.

Laut Akamai wird getarnter JavaScript-Code von Cyberkriminellen für Phishing-Websites, Malware-Dropper oder Betrugsmaschen wie Magecart-Angriffe auf Online-Bezahlsysteme benutzt. Die neue Technik zur Erkennung von schädlichem JavaScript-Code wollen die Forscher nun im November auf der Sicherheitskonferenz SecTor 2021 vorstellen.

Vorab teilte Akamai mit, dass eine Erkennung künftig auf Basis besonderer Funktionen der Packer erfolgen soll. Statt eine Signatur oder einen Hashwert zu nutzen, sollen vom Packer benutzte Techniken den Schadcode entlarven.

Zur Entwicklung der neue Technik hat Akamai vier Teile von JavaScript-Code auf vier nicht miteinander verbundenen bösartigen Dateien untersucht. Zwei der Code-Schnipsel waren für Phishing bestimmt, einer war ein Malware-Droppe und der vierte eine Magecart-Malware. ” Diese vier Beispiele sind das Ergebnis der gleichen einzigartigen Packer-Funktionalität, die zur Verschleierung eines beliebigen JavaScript-Codes verwendet wird”, erklärt Akamai.

Durch die Erstellung von Profilen von Packern und ihren Funktionen hätten die Forscher dann 30.000 gutartige und bösartige JavaScript-Dateien ausgewertet. Mindestens 25 Prozent der bösartigen Dateien hätten eine der fünf zuvor definierten Packer-Funktionen verwendet.

Akamai weist aber auch darauf hin, das Tarnung von Code an sich kein eindeutiges Signal für schädlichen Code sei. Für eine genauere Unterscheidung von schädlichem oder harmlosen getarnten JavaScript-Code werde maschinelles Lernen benötigt.