Intercept.js: JavaScript ortamlarında bağlam duyarlı YARA taraması

Intercept.js, YARA kurallarını tarayıcı, e-posta istemcisi veya Office eklentisi gibi JS çalışan her ortamda çalıştırmayı sağlayan açık kaynaklı bir kütüphane. Proje, klasik YARA imza eşleştirmesinin ötesine geçerek indirmenin geldiği site, yönlendirme zinciri ve kullanıcı etkileşimi gibi çalışma zamanı bağlam sinyallerini kural değerlendirmesine dahil ediyor.

Geliştirici, dosya tarayıcılarının tarayıcı dışında çalışıp indirme tetikleyicisini işletim sistemi bildirimlerinden aldığını, bu yüzden dosyanın hangi siteden ve hangi kullanıcı davranışı sonrası geldiğini bilemediğini belirtiyor. Bu eksiklik özellikle imzası henüz yayınlanmamış 0-day tehditlerin tespitinde sorun yaratıyor. Intercept.js, YARA motorunu tamamen vanilla JS ile yeniden yazarak modüler bir yapı kurmuş ve özel bir metadata nesnesiyle kural sözdizimine bağlam bilgisi ekleme imkânı sağlamış; bu sayede YARA uyumluluğu korunuyor.

Proje EDR ve dosya indirme güvenliği alanında çalışan mühendisler için ilgi çekici: tarayıcı içi, dosya diske yazılmadan önce çalışan bir engelleme mekanizması sunuyor. DLP ve uyumluluk senaryolarına da uyarlanabilir. Kod, örnekler ve Cloudflare Workers üzerinde barındırılan bir demo GitHub'da mevcut; geliştirici BlackHat Arsenal ve DEFCON Demo Labs'ta katkıda bulunacak işbirlikçiler arıyor.