В uBlock Origin е добавена блокировка на скриптове за сканиране на мрежови портове

В приложението на uBlock Origin филтър EasyPrivacy са добавени правила за блокиране на стандартни скриптове за сканиране на мрежови портове на локалната система на потребителя. Напомняме, че през май беше установено сканиране на локални портове при отваряне на сайта eBay.com. Установи се, че такава практика не е ограничена само до eBay и много други сайтове (Citibank, TD Bank, Sky, GumTree, WePay и др.) прилагат сканиране на портовете на локалната система на потребителя при отваряне на страниците си, използвайки код за идентифициране на опити за достъп от компрометирани компютри, предоставен от услугата ThreatMetrix.

В случая с eBay се извършва проверка на 14 мрежови порта, свързани със сървъри за отдалечен достъп, като VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin и RDP. Вероятно проверката се извършва за определяне на наличие на следи от компрометиране на системата с злонамерен софтуер с цел предотвратяване на извършване на измамни покупки с използване на ботнети. Сканироването може също да се прилага за събиране на данни за косвена идентификация на потребителя.

За сканирането се използва техника, основана на опити за установяване на връзки към различни мрежови портове на хоста 127.0.0.1 (localhost) чрез WebSocket. Наличието на отворен мрежов порт се определя косвено на базата на разликите в обработката на грешките при свързване към активни и неактивни мрежови портове. WebSocket позволява изпращане само на HTTP заявки, но подобна заявка за неактивен мрежов порт приключва с грешка веднага, а за активен порт - след известно време, натрупващо се при опит за установяване на връзка. Освен това, при неактивен порт WebSocket връща код на грешка при свързване (ERR_CONNECTION_REFUSED), а при активен - код на грешка при установяване на връзка.

Освен сканирането на портове, WebSockets също може да се използва да се използва за атаки срещу системи за уеб разработчици, които стартират на локалната система WebSocket обработчици за приложения React. Външният сайт може да избере мрежови портове, да определи наличието на такъв обработчик и да се свърже с него. Ако разработчикът направи грешка, атакуващият може да получи съдържанието на отладъчни данни, които могат да включват случайни конфиденциални сведения.

Източник: opennet.ru