У uBlock Origin додано блокування скриптів для сканування мережевих портів

В фільтр, що використовується в uBlock Origin EasyPrivacy додано правила для блокування типових скриптів сканування мережних портів на локальній системі користувача. Нагадаємо, що у травні було виявлено сканування локальних портів під час відкриття сайту eBay.com. З'ясувалося, що подібна практика не обмежується eBay і багато інші сайти (Citibank, TD Bank, Sky, GumTree, WePay тощо) застосовують сканування портів локальної системи користувача при відкритті своїх сторінок, використовуючи код для виявлення спроб поводження зі зламаних комп'ютерів, що надається сервісом ThreatMetrix.

У випадку eBay перевіряли 14 мережевих портів, асоційованих з серверами віддаленого доступу, такими як VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin і RDP. Ймовірно, перевірка виконується для визначення наявності слідів ураження системи шкідливим ПЗ з метою запобігання вчиненню шахрайських покупок з використанням ботнетів. Сканування також може застосовуватися для отримання даних для непрямої ідентифікації користувача.

Для сканування застосовується техніка, заснована на спробі встановлення з'єднань до різних мережних портів хоста 127.0.0.1 (localhost) через WebSocket. Факт наявності відкритого мережного порту визначається опосередковано з урахуванням відмінності у обробці помилок підключення до активним і не використовуваним мережевим портам. WebSocket дозволяє надсилати тільки HTTP-запити, але подібний запит для неактивного мережного порту завершується помилкою відразу, а для активного порту лише через деякий час, що йде на спробу узгодження з'єднання. Крім того, у разі неактивного порту WebSocket видає код помилки підключення (ERR_CONNECTION_REFUSED), а у разі активного – код помилки узгодження з'єднання.

Крім сканування портів WebSockets може також застосовуватися для атак на системи web-розробників, які запускають на локальній системі WebSocket-обробники для програм React. Зовнішній сайт може перебрати мережеві порти, визначити наявність такого обробника та підключитися до нього. Якщо розробник припуститься помилки, атакуючий зможе отримати вміст налагоджувальних даних, які можуть включати уривчасті конфіденційні відомості.

Джерело: opennet.ru