A használt uBlock Origin szűrőben hozzáadták a helyi felhasználói rendszer hálózati portjainak szkennelését blokkoló szabályokat. Emlékeztetünk, hogy májusban a helyi portok szkennelése az eBay.com weboldal megnyitásakor. Kiderült, hogy az ilyen gyakorlat nem korlátozódik az eBay-re, és sok (Citibank, TD Bank, Sky, GumTree, WePay stb.) alkalmazza a felhasználói rendszer helyi portjainak szkennelését az oldalaik megnyitásakor, a ThreatMetrix szolgáltatása által nyújtott kódot felhasználva, hogy azonosítsák a feltört számítógépekből érkező hozzáférési kísérleteket.
Az eBay esetében 14 hálózati port ellenőrzése zajlott, amelyek távoli hozzáférési szerverekkel kapcsolatosak, mint például a VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin és az RDP. Valószínű, hogy az ellenőrzés a rendszert káros szoftverekkel érintett nyomok észlelésének meghatározása a botnetek által történő csalárd vásárlások megakadályozása céljából. A szkennelést arra is használhatják, hogy adatokat gyűjtsenek az .
A szkenneléshez egy technikát alkalmaznak, amely a 127.0.0.1 (localhost) gazda különféle hálózati portjaira történő kapcsolódási kísérletek alapján működik. A nyitott hálózati port jelenlétét közvetett módon az aktív és nem használt hálózati portokra történő kapcsolódási hibák kezelésének eltérése alapján állapítják meg. A WebSocket csak HTTP-kérések küldésére képes, de egy ilyen kérés egy inaktív hálózati port számára azonnal hibát jelez, míg az aktív portra csak egy ideig várakozik, míg megpróbálja létrehozni a kapcsolatot. Továbbá, egy inaktív port esetén a WebSocket csatlakozási hiba kódot (ERR_CONNECTION_REFUSED) ad, míg egy aktív port esetében a kapcsolat költségvetési hibakódot ad.
A WebSocket portszkennelésén kívül szintén támadások célpontjává válhat a webfejlesztők helyi rendszeren WebSocket-kezelőket futtató rendszereire. Egy külső weboldal próbálkozhat a hálózati portok telítésével, az ilyen kezelő jelenlétének meghatározásával és az ahhoz való csatlakozással. Ha a fejlesztő hibázik, a támadó hozzáférhet a hibakeresési adatok tartalmához, amelyek bizalmas információkat tartalmazhatnak.
Forrás: opennet.ru
