Twitter / @Yosuke HASEGAWA: joomla を利用している複数のサイトにおいて、「 ...（情報元のブックマーク数）

IT セキュリティ

d:id:hasegawayosuke:detailさんのjjencodeが複数サイトで、難読化の手法として悪用されちゃったそうです・・・

jjencode自体は、記号だけでJavascriptを書こう！という内容であって以下URLにてAjaxで書けちゃうやつが、公開されていますね。

あと、詳細については、はせがわさんのサイトで発表資料が公開されています。

Twitter. It's what's happening.

一部記事にもなっていますね。イタリアのWebサイトでって書いてるな。

From MDL forum, I get a post where a user has been reported a strange Javascript code injected in some Italian web site. Specifically the message is located at the following URL:
http://www.malwaredomainlist.com/forums/index.php?topic=4354.0
The code that is reported looks like shown in the following screenshot:

Blogger

関連URL

Twitterでのはせがわさんを追ってみるｗ

はせがわさんのBlogでも書かれていますね。でも海外あんまり反応してないですね。

イタリアのJoomla!を使用している複数のサイトにおいて、悪意あるサイトに誘導するためのJavaScriptを注入されるという攻撃が発生したようですが、そのときに埋め込まれるJavaScriptが、jjencode によって難読化されたものだったようです。

  • Italian compromised sites
  • extraexploit: dollars javascript code – yet another Javascript obfuscation method for cc frauds


実際に攻撃を受けたサイトのHTMLソースは以下のような感じ。jjencode によって生成された記号JavaScriptが埋め込まれています。

複数のJoomla!サイトにおいて、jjencodeを使用して記号だけに難読化したJavaScriptを注入する攻撃が発生 - 葉っぱ日記

本当に研究目的の物を悪用とかかなしい限りでしかない・・・

このような理由で、jjencode が実際の攻撃手段として有効かというと、個人的には非常に懐疑的に思っています。

複数のJoomla!サイトにおいて、jjencodeを使用して記号だけに難読化したJavaScriptを注入する攻撃が発生 - 葉っぱ日記


screenshot