uBlock Origin har tilføjet blokering af scripts til scanning af netværksporte.

I den anvendte uBlock Origin-filter EasyPrivacy er der tilføjet regler til blokering af typiske scripts til scanning af netværksporte på brugerens lokale system. Husk, at i maj blev det opdaget scanning af lokale porte, når man åbner eBay.com. Det viste sig, at denne praksis ikke er begrænset til eBay, og mange andre websteder (Citibank, TD Bank, Sky, GumTree, WePay osv.) anvender scanning af brugerens lokale systemporte ved åbning af deres sider ved hjælp af kode til at opdage forsøg på adgang fra inficerede computere, leveret af tjenesten ThreatMetrix.

I tilfældet med eBay blev der kontrolleret 14 netværksporte, der er forbundet med fjernadgangsservere som VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin og RDP. Sandsynligvis udføres kontrollen til at bestemme for at finde spor efter systemets infektion med malware med det formål at forhindre, at der foretages svigagtige køb ved hjælp af botnet. Scanning kan også bruges til at indsamle data til indirekte identifikation af brugeren..

Til scanning anvendes en teknik, der er baseret på at forsøge at oprette forbindelser til forskellige netværksporte på værten 127.0.0.1 (localhost) gennem WebSocket. Eksistensen af en åben netværksport bestemmes indirekte baseret på forskelle i behandlingen af forbindelsesfejl til aktive og ubenyttede netværksporte. WebSocket tillader kun at sende HTTP-anmodninger, men en sådan anmodning til en inaktiv netværksport resulterer straks i en fejl, mens en aktiv port kun fejler efter en vis tid, der bruges til at forsøge at etablere forbindelsen. Desuden genererer WebSocket en forbindelsesfejlskode (ERR_CONNECTION_REFUSED) for en inaktiv port, mens en aktiv port genererer en kode for fejl i forbindelsesaftalen.

Udover portscanning kan WebSockets også til at udføre MITM, men blokeres ved brug af Firefox' certifikatlager); bruges til angreb på webudvikleres systemer, der kører WebSocket-håndterere for React-applikationer på deres lokale system. Et eksternt websted kan scanne netværksportene, bestemme om en sådan håndterer findes, og oprette forbindelse til den. Hvis udvikleren laver en fejl, kan angriberen få adgang til indholdet af debug-data, som kan inkludere spor af fortrolige oplysninger.

Kilde: opennet.ru