Egy érdekes kérdést tettek fel a minap egy biztonsági fórumon: vajon mi a veszélyesebb, egy klasszikus vírus vagy egy JavaScript nyelven írt kártevő? Nos nézzünk utána - bár a döntetlen esélyes felvetésnél mindig az a veszélyes, ami a saját gépünkön éppen sikerrel betámad - és keressünk ezzel kapcsolatos tényeket, példákat.
Ott ragadva a fórumon természetesen érkeznek is rendre az olyan válaszok, amelyek stílszerűen ahhoz hasonlítják a dolgot, mintha valaki azt kérdezné, melyik a veszélyesebb állat: a szúnyog vagy a fehér cápa? Első látásra persze mindenki a cápát gondolja, de a kérdés valójában eldönthetetlen. Nyilván másként látja mindezt egy mélytengeri búvár és egy afrikai missziónál dolgozó orvos, és nem értenek abban egyet, hogy melyik miatt érdemes többet aggódni. Ám ha viszont azt nézzük, évente hány ember hal meg moszkitócsípés miatt maláriában, akkor vastagon lekörözné ez a számadat a cápatámadások áldozatainak mennyiségét, bár természetesen az áldozatokot egyformán sajnáljuk.
Ez tulajdonképpen egy kicsit retro-szerű kérdés, mert korábban valóban sokan helytelenül erőteljesen alábecsülték a scriptes kártevők által okozott veszélyeket. A lényeg inkább ott van, ha valamelyik fenyeget minket, akkor mindegy, mert mindig amiatt kell aggódni, ami épp szembejön. A veszély pedig nagyjából egyforma, magyarán az okozható károk tekintetében nincs érdemi különbség, rombolásban résztvenni lehet ezzel is lehet rendesen.
Az eredetileg 1995-ben megjelent kliensoldali JavaScript nyelvet manapság már rengeteg helyen használják, webes alkalmazásokban éppúgy, mint asztali alkalmazásokban, böngésző pluginekben, a Firefox OS-ben vagy akár éppen szerver démonokban is megtalálhatjuk. Manapság általános felállásnak számít, hogy a hagyományos kártevők fertőzés után a megtámadott rendszeren a háttérben további kártékony JavaScript állományokat kísérelnek meg magukból kidobni, vagy letölteni, és aztán azokat lefuttatni.
Híres kártevőkből sincs hiány - ilyenek még a havi toplistákon is rendszeresen elő szoktak fordulni, de 2013-ban például egy olyan kártevő ténykedett Brazíliában - amelyik amellett, hogy az ellopott belépési adatokat éppen egy feltört brazil kormányzati weboldalon keresztül küldte tovább a támadóknak - JavaScript kód segítségével egy Chrome böngésző plugin segítségével lopta el az áldozatok személyes banki adatait.
Összegezve tehát jól látszik a fentiekből, a kérdés nem kérdés, a veszély e tekintetben nagyjából független a programozási nyelvtől, bár általános esetben a JavaScript azért legtöbbször megfelelő engedélyekkel bír, és a homokozójában fut. Ám ha eközben megnézzük a leggyakoribb böngésző háttérben történő átirányítást végző kártékony kódok többsége script, elsősorban javascript alapú, amiket tulajdonképpen bárki könnyedén gyárthat. Tehát ez is lehet épp olyan veszélyes, mint bármely más vírus, hiszen ugyanúgy sebezhetőséget használhat ki, eredményesen támadva gyenge pontokat az operációs rendszerekben, alkalmazásokban, böngészőkben, így közvetett szerepe van a fertőzésekben és főként az exploitok letöltésében.
Egyébként kevés viccesebb dolgot lehetett annak idején látni, mint a hamis antivírusok hőskorában, amikor a kezdeti rogue AV programok rendre benézték a Linuxot és a Macintosht, emiatt a böngészés közben az automatikusan lefutó JavaScript kódok Debianon és OS X-en is ugyanúgy felrajzolták a Windows .EXE kártevőket "észlelő" ablakokat, mint Microsoft Windows alatt :-)
Annyi különbség viszont mégis elmondható, hogy míg a klasszikus vírusok ellen csak az antivírus csomagok futtatása, és persze a biztonságtudatosság (nem kattintunk mindenre, nem telepítünk akármit) a fő védelmi lehetőség, addig a scriptes kártevők támadásai ellen az előbbiek mellé azért tehetünk még további extra módszereket. Ilyen lehetőség például egy biztonságosabb böngésző kliens használata, vagy olyan internet security csomag választása, amely már böngészés közbeni védelmet is biztosít.
De ugyanígy figyelhetünk az alapértelmezett Adobe Reader beállításokra - Protected View kiválasztása, és ne legyen default a JavaScriptek futtatása - illetve választhatunk valamilyen alternatív PDF megjelenítőt is. Sőt visszatérve az internetezésre például olyan, a scripteket menet közben blokkolni képes böngésző kiegészítők telepítése és használata is rengeteget segíthet ez ügyben, mint amilyen a NoScript.
