Детектор JavaScript в файлах

• Обнаружение многоформатного JavaScript: обнаруживает встроенный JavaScript в PDF-файлах (через ссылки /JavaScript, записи /JS и триггеры OpenAction), документах Office (макросы VBA, элементы сценариев, элементы управления ActiveX в XML DOCX/XLSX/PPTX), файлах HTML/SVG (встроенные сценарии, обработчики событий, javascript: URL-адреса) и любых двоичных или текстовых файлах с шаблонами JS. Комплексный охват анализа безопасности.
• Анализ триггеров выполнения: идентифицирует и классифицирует каждый обнаруженный триггер выполнения сценариев — действия автоматического выполнения, такие как PDF OpenAction (запускается сразу при открытии), обработчики событий загрузки, макросы автоматического выполнения (Auto_Open, Workbook_Open) и события, инициируемые пользователем (onclick, onsubmit). Критические сценарии автоматического выполнения помечаются уровнями серьезности для приоритетной проверки.
• Классификация рисков на основе серьезности: каждый обнаруженный сценарий автоматически классифицируется по уровню серьезности: критический (автоматическое выполнение при открытии), высокий (встроенный JavaScript/макрос), средний (обработчики событий, шаблоны обфускации), низкий (стандартные ссылки JS) и информация (информационные шаблоны). Сортируйте и фильтруйте результаты, чтобы в первую очередь сосредоточиться на результатах, представляющих самый высокий риск.
• 100% конфиденциальная обработка на основе браузера: все обнаружение JavaScript происходит исключительно в вашем браузере. Файлы считываются через File API и анализируются локально с помощью JSZip для документов Office и собственного текстового/двоичного анализа PDF-файлов и других форматов. Никакие данные никогда не загружаются на какой-либо сервер — ваши файлы остаются полностью конфиденциальными на вашем устройстве. Никакой регистрации, никакой учетной записи, никакого сбора данных.

• Аудит безопасности загруженных файлов. Прежде чем открывать PDF-файлы, документы Office или HTML-файлы, загруженные из ненадежных источников, просканируйте их на наличие встроенного JavaScript. Злоумышленники используют PDF JavaScript для автоматического выполнения эксплойтов, фишинговых макросов в документах Office и скрытых скриптов во вложениях HTML. Обнаруживайте и просматривайте все содержимое сценария перед его открытием.
• en
• Проверка вложений электронной почты: проверяйте вложения электронной почты на наличие встроенного JavaScript перед их открытием. Злоумышленники обычно встраивают JavaScript в счета-фактуры PDF, макросы документов Office и вложения HTML для доставки вредоносного ПО, фишинговых страниц или сценариев сбора учетных данных. Детектор JavaScript помогает мгновенно идентифицировать опасные вложения.
• Безопасность цепочки поставок кода и документов: сканируйте сторонние документы, пакеты SDK и файлы поставщиков на предмет неожиданного содержимого JavaScript. Обнаруживайте скрытые сценарии в загруженных спецификациях PDF, шаблонах документов Office или документации HTML, которые могут содержать сценарии отслеживания, код кражи данных или другие риски цепочки поставок.
• Анализ вредоносного ПО и фишинга: анализируйте подозрительные фишинговые документы на предмет обфускации на основе JavaScript, сценариев перенаправления и кода сбора учетных данных. Детектор выявляет распространенные шаблоны вредоносного ПО: javascript: URL-адреса, полезные данные в кодировке Base64, обфускацию eval(), создание экземпляров ActiveXObject и соединения WebSocket для кражи данных.
• Обучение и повышение осведомленности в области безопасности: продемонстрируйте, как встроенный JavaScript работает в различных форматах файлов для обучения безопасности. Покажите примеры эксплойтов PDF OpenAction, автоматического выполнения макросов Office и методов фишинга на основе HTML. Помогите специалистам по безопасности и студентам понять векторы атак на основе реальных результатов обнаружения.

Под встроенным JavaScript понимается код JavaScript, который хранится в форматах файлов, отличных от JS, таких как PDF-файлы, документы Office (DOCX, XLSX, PPTX), файлы HTML и изображения SVG. В отличие от отдельных файлов .js, встроенный JavaScript скрыт внутри документов и может выполняться автоматически при открытии файла (автоматическое выполнение) или при взаимодействии пользователя с элементами документа. Это делает его распространенным вектором распространения вредоносного ПО, фишинговых атак и кражи данных. Наш детектор JavaScript сканирует файлы на двоичном и структурном уровне, чтобы найти, извлечь и классифицировать эти встроенные сценарии.

1. Определение типа файла: файл считывается, и его тип определяется путем проверки магических байтов (например, «%PDF-» для PDF-файлов, «PK» для документов Office на основе ZIP) и расширения файла. В зависимости от формата файла применяются различные стратегии обнаружения, чтобы найти встроенный JavaScript в наиболее подходящих местах.
2. Анализ PDF-файлов: для PDF-файлов детектор ищет ссылки /JavaScript и записи /JS (встроенный JavaScript) в дереве объектов PDF. Он специально ищет триггеры /OpenAction, которые вызывают автоматическое выполнение JavaScript при открытии PDF-файла в совместимом средстве просмотра. PDF JavaScript обычно используется для проверки форм и динамического содержимого, но также используется для автоматической доставки вредоносных программ.
3. Анализ документов Office: для файлов DOCX, XLSX и PPTX (которые представляют собой ZIP-архивы, содержащие XML) детектор извлекает архив и сканирует записи макросов VBA (vbaProject.bin), элементы сценария в XML-документе, ссылки на элементы управления ActiveX и внедренное содержимое HTML. Макросы автоматического выполнения, такие как Auto_Open, Workbook_Open и Document_Open, помечены как критические.
4. HTML/SVG/общий анализ: для файлов HTML, SVG и XML детектор сканирует элементы сценария, встроенные обработчики событий (onload, onclick, onerror и т. д.), JavaScript: URL-адреса в ссылках и формах, а также общие шаблоны JavaScript. Для всех типов файлов общий поиск по двоичному шаблону обнаруживает обфускацию eval(), fromCharCode(), ActiveXObject, назначения InternalHTML и другие индикаторы JavaScript.

• Ссылки на PDF/JavaScript: прямые ссылки на действия JavaScript в словарях объектов PDF. Они могут указывать на код JavaScript, хранящийся в другом месте PDF-файла, или ссылаться на именованные действия для выполнения.
• Триггеры PDF OpenAction: определенная запись PDF, определяющая действие, выполняемое при первом открытии документа. Это наиболее опасный вектор использования PDF-файлов, поскольку он не требует взаимодействия с пользователем. Уровень серьезности: Критический.
• Макросы Office VBA: код Visual Basic для приложений, встроенный в двоичные файлы документов Office (vbaProject.bin). Распространенная доставка вредоносного ПО с помощью макросов Auto_Open, которые выполняются при открытии документа. Уровень серьезности: критический (автоматическое выполнение) или высокий.
• Элементы сценария HTML/SVG: стандартные теги <script>, встроенные в содержимое HTML, SVG или XML в файлах любого типа. Может включать встроенный код, внешние ссылки или запутанные полезные данные. Обработчики событий (onload, onclick, onerror) предоставляют триггеры выполнения.
• Шаблоны обфускации. Общие обнаруженные методы обфускации JavaScript включают вызовы eval(), кодирование String.fromCharCode(), декодирование Base64 (atob) и динамическое построение кода. Эти шаблоны часто используются для сокрытия вредоносного кода от инструментов статического анализа.

Ваша конфиденциальность является нашим приоритетом. Вся обработка файлов происходит полностью в вашем браузере с использованием File API для чтения, JSZip для проверки документов Office, а также собственного текста и двоичного анализа для других форматов. Файлы никогда не загружаются на какой-либо сервер — никакие данные не покидают ваше устройство. Вся обработка выполняется полностью на вашем устройстве без каких-либо сетевых запросов. Инструмент на 100% бесплатен, без регистрации, учетной записи и ограничений на использование.

Важные ограничения: этот детектор выполняет статический анализ файлов и не выполняет обнаруженный JavaScript. Он идентифицирует шаблоны сценариев, ссылки и структурные маркеры, но не может с уверенностью определить, является ли сценарий вредоносным или безопасным. Зашифрованный, сжатый или минимизированный код JavaScript может оказаться не полностью извлекаемым. Защищенные PDF-файлы (зашифрованные паролем) и сильно запутанный код могут ограничить точность обнаружения. Всегда используйте обнаруженные результаты в качестве отправной точки для дальнейшего ручного расследования.