Vo filtre používanom v uBlock Origin boli pridané pravidlá na blokovanie typických skriptov pre skenovanie sieťových portov na lokálnom systéme používateľa. Pripomíname, že v máji skenovanie lokálnych portov pri otváraní stránky eBay.com. Ukázalo sa, že takáto prax nie je obmedzená len na eBay a mnohé (Citibank, TD Bank, Sky, GumTree, WePay a pod.) používajú skenovanie portov lokálneho systému používateľa pri otváraní svojich stránok, pričom používajú kód na zistenie pokusov o prístup z napadnutých počítačov, poskytovaný službou ThreatMetrix.
V prípade eBay sa kontrolovalo 14 sieťových portov, asociovaných so servermi vzdialeného prístupu, ako sú VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin a RDP. Je pravdepodobné, že kontrola sa vykonáva na prítomnosti stôp infikovania systému škodlivým softvérom s cieľom zabrániť podvodným nákupom pomocou botnetov. Skenovanie môže byť taktiež použité na získanie údajov pre nepriame .
Na skenovanie sa používa technika založená na pokuse o vytvorenie spojenia s rôznymi sieťovými portami hostiteľa 127.0.0.1 (localhost) cez . Skutočnosť existencie otvoreného sieťového portu je indiretne určená na základe rozdielu v spracovaní chýb pripojenia k aktívnym a nevyužívaným sieťovým portom. WebSocket umožňuje odosielať iba HTTP požiadavky, ale takýto požiadavok pre neaktívny sieťový port končí chybou ihneď, zatiaľ čo pre aktívny port len po určitom čase, ktoré ide na pokus o rokovanie o spojení. Okrem toho, v prípade neaktívneho portu WebSocket vracia kód chyby pripojenia (ERR_CONNECTION_REFUSED), a v prípade aktívneho — kód chyby rokovania o spojení.
Okrem skenovania portov WebSockets môže byť použitý na útoky na systémy webových vývojárov, ktorí spúšťajú na lokálnom systéme WebSocket spracovateľov pre aplikácie React. Externý web môže prehľadať sieťové porty, zistiť prítomnosť takého spracovateľa a pripojiť sa k nemu. Ak vývojár urobí chybu, útočník môže získať obsah ladacích údajov, ktoré môžu obsahovať útržkovité dôverné informácie.
Zdroj: opennet.ru
