I uBlock Origin har scriptblockering lagts till för skanning av nätverksportar

I den filter som används i uBlock Origin EasyPrivacy har regler lagts till för att blockera typiska skript som skannar nätverksportar på användarens lokala system. Vi påminner om att det i maj upptäcktes skanning av lokala portar vid öppnande av webbplatsen eBay.com. Det visade sig att denna praxis inte är begränsad till eBay och att många andra webbplatser (Citibank, TD Bank, Sky, GumTree, WePay m.fl.) tillämpar portskanning av användarens lokala system vid öppnandet av sina sidor, med hjälp av kod för att upptäcka försök till angrepp från infekterade datorer, som tillhandahålls av tjänsten ThreatMetrix.

I fallet med eBay skannades 14 nätverksportar som är kopplade till fjärråtkomstservrar, såsom VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin och RDP. Kontrolleringen utfördes troligtvis för att bestämma för att identifiera spår av systemets infektion av skadlig programvara för att förhindra bedrägliga köp med hjälp av botnät. Skanning kan också användas för att erhålla data för indirekt identifiering av användare.

För skanning används en teknik som bygger på att försöka upprätta anslutningar till olika nätverksportar på värden 127.0.0.1 (localhost) genom WebSocket. Förekomsten av en öppen nätverksport bestäms indirekt baserat på skillnaden i hur anslutningsfel hanteras vid aktiva och oanvända nätverksportar. WebSocket tillåter endast HTTP-förfrågningar, men en sådan förfrågan för en inaktiv nätverksport misslyckas omedelbart, medan för en aktiv port tar det längre tid, vilket beror på att försöka etablera en anslutning. Dessutom ger WebSocket ett anslutningsfel (ERR_CONNECTION_REFUSED) för en inaktiv port, medan det för en aktiv port ger en kod för anslutningsetablering.

Förutom portskanning kan WebSockets också användas användas för attacker mot system för webb utvecklare som kör WebSocket-hanterare på lokalsystemet för React-applikationer. En extern webbplats kan scanna nätverksportar, identifiera förekomsten av en sådan hanterare och ansluta till den. Om utvecklaren gör ett misstag kan angriparen få tillgång till innehållet i felrapporter, vilket kan inkludera bristande konfidentiell information.

Källa: opennet.ru