In de filter toegepast in uBlock Origin zijn regels toegevoegd om typische scripts voor het scannen van netwerken op het lokale systeem van de gebruiker te blokkeren. Ter herinnering, in mei dat er scans van lokale poorten plaatsvonden bij het openen van de site eBay.com. Het is gebleken dat deze praktijk niet beperkt is tot eBay en dat veel (Citibank, TD Bank, Sky, GumTree, WePay, etc.) ook scans van de poorten van het lokale systeem van de gebruiker uitvoeren bij het openen van hun pagina's, met gebruik van code om pogingen tot toegang vanaf gehackte computers te detecteren, geleverd door de dienst ThreatMetrix.
In het geval van eBay werden 14 netwerpoortscans uitgevoerd die geassocieerd zijn met externe toegangservers zoals VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin en RDP. Vermoedelijk wordt deze controle uitgevoerd om aanwijzingen van infectie met malware te identificeren met het doel frauduleuze aankopen via botnets te voorkomen. Scannen kan ook worden gebruikt om gegevens voor indirecte .
Voor het scannen wordt een techniek gebruikt die gebaseerd is op het proberen verbinding te maken met verschillende netwerkpoorten van host 127.0.0.1 (localhost) via . De aanwezigheid van een open netwerkpoort wordt indirect bepaald op basis van het verschil in de verwerking van verbindingsfouten voor actieve en niet-gebruikte netwerkpoorten. WebSocket kan alleen HTTP-verzoeken verzenden, maar zo'n verzoek voor een inactieve netwerkpoort resulteert onmiddellijk in een fout, terwijl voor een actieve poort dit pas na enige tijd gebeurt, wat afhankelijk is van de poging om een verbinding te onderhandelen. Bovendien geeft een inactieve poort een verbindingsfoutcode (ERR_CONNECTION_REFUSED), terwijl een actieve een onderhandelfoutcode geeft.
Naast het scannen van poorten kan WebSockets ook worden gebruikt voor aanvallen op systemen van webontwikkelaars die WebSocket-handlers voor React-applicaties op hun lokale systeem draaien. Een externe site kan netwerkpoorten scannen, de aanwezigheid van zo'n handler bepalen en verbinding maken. Als de ontwikkelaar een fout maakt, kan de aanvaller de inhoud van debug-informatie verkrijgen, die fragmentarische vertrouwelijke gegevens kan bevatten.
Bron: opennet.ru
