Quelle protection face à un keylogger écrit en Javacript ?
25 décembre 2014
Le Javascript est de plus en plus utilisé. En un an, il a gagné 3 places au classement TIOBE des langages les plus utilisés. Avec AJAX et JSON, ses possibilités d’interagir avec les composants serveur ou en mode cross-domain font de ce langage un outil de prédilection pour détourner les données des utilisateurs lors de leur consultation des sites Web.
Pas de solution, à ce jour
Face à l’explosion incontrôlée de scripts en tout genre associés à la mesure de l’audience ou aux régies publicitaires, rien n’est plus simple aujourd’hui que d’injecter un keylogger (1) dans du code Javascript du fait de la généralisation des techniques dites d’obfuscation. Ce matin, je n’ai rien trouvé – que ce soit sur Internet, dans AdBlock Plus, dans la configuration ou dans les modules complémentaires de Firefox – permettant le blocage ou la surveillance de quelques instructions JavaScript telles que :
- onkeypress, onkeyup, onkeydown
- keyCode, charCode, which
On aurait pu imaginer, par exemple, un système dans Firefox qui, à l’instar de disable_functions au niveau du php.ini, bloque les instructions Javascript de votre choix !
(1) VirusTotal n’y a rien trouvé à redire !