No filtro usado no uBlock Origin foram adicionadas regras para bloquear scripts comuns de varredura de portas de rede no sistema local do usuário. Lembramos que em maio a varredura de portas locais ao acessar o site eBay.com. Ficou claro que essa prática não se limita ao eBay, e muitos (Citibank, TD Bank, Sky, GumTree, WePay, etc.) realizam a varredura das portas locais do sistema do usuário ao abrir suas páginas, usando código para detectar tentativas de acesso de computadores comprometidos, fornecido pelo serviço ThreatMetrix.
No caso do eBay, foram verificadas 14 portas de rede associadas a servidores de acesso remoto, como VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin e RDP. Provavelmente, a verificação é realizada para detectar vestígios de infecção do sistema por malware, a fim de prevenir compras fraudulentas utilizando botnets. A varredura também pode ser usada para coletar dados para uma .
A técnica de varredura baseia-se na tentativa de estabelecer conexões a várias portas de rede do host 127.0.0.1 (localhost) através de . A presença de uma porta de rede aberta é determinada indiretamente com base na diferença no tratamento de erros de conexão entre portas de rede ativas e inativas. WebSocket permite o envio apenas de solicitações HTTP, mas uma solicitação para uma porta de rede inativa falha imediatamente, enquanto para uma porta ativa leva algum tempo, devido à tentativa de negociar a conexão. Além disso, em caso de porta inativa, o WebSocket retorna um código de erro de conexão (ERR_CONNECTION_REFUSED), enquanto em caso de porta ativa — retorna um código de erro de negociação de conexão.
Além da varredura de portas, WebSockets também pode ser usado para ataques a sistemas de desenvolvedores web que executam manipuladores WebSocket localmente para aplicativos React. Um site externo pode percorrer portas de rede, determinar a existência de tal manipulador e se conectar a ele. Se o desenvolvedor cometer um erro, o atacante poderá obter o conteúdo dos dados de depuração, que podem incluir fragmentos de informações confidenciais.
Fonte: opennet.ru
