uBlock Origin добави блокиране на скриптове за сканиране на мрежови портове

Филтърът, използван в uBlock Origin EasyPrivacy добавени правила за блокиране на типични скриптове за сканиране на мрежови портове в локалната система на потребителя. Припомняме, че през май Това разкри сканиране на локални портове при отваряне на eBay.com. Оказа се, че тази практика не се ограничава само до eBay и мн други сайтове (Citibank, TD Bank, Sky, GumTree, WePay и т.н.) използват сканиране на портове на локалната система на потребителя, когато отварят своите страници, като използват код за откриване на опити за достъп от хакнати компютри, предоставени от услугата ThreatMetrix.

В случая на eBay бяха проверени 14 мрежови порта, свързани със сървъри за отдалечен достъп като VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin и RDP. Вероятно е в ход проверка за определяне наличие на следи от повреда на системата от зловреден софтуер, за да се предотвратят измамни покупки с помощта на ботнет мрежи. Сканирането може да се използва и за получаване на данни за косвени идентификация на потребителя.

Техника, използвана за сканиране, се основава на опит за установяване на връзки към различни мрежови портове на хост 127.0.0.1 (localhost) чрез WebSocket. Наличието на отворен мрежов порт се определя индиректно въз основа на разликата в обработката на грешки за връзки към активни и неизползвани мрежови портове. WebSocket ви позволява да изпращате само HTTP заявки, но такава заявка за неактивен мрежов порт се проваля веднага, а за активен порт само след известно време, прекарано в опити за преговаряне на връзката. Освен това, в случай на неактивен порт, WebSocket издава код за грешка при свързване (ERR_CONNECTION_REFUSED), а в случай на активен порт, код за грешка при договаряне на връзката.

В допълнение към сканирането на портове, WebSockets може също Приложи за атаки върху системите на уеб разработчици, работещи с WebSocket манипулатори за React приложения на локалната система. Външен сайт може да търси през мрежови портове, да определи наличието на такъв манипулатор и да се свърже с него. Ако разработчикът направи грешка, нападателят може да получи съдържанието на данните за отстраняване на грешки, което може да включва схематична чувствителна информация.

Източник: opennet.ru