B uBlock Origin добавлена блокировка скриптов для сканирования сетевых портов
8.06.20
В применяемый в uBlock Origin фильтр EasyPrivacy добавлены правила для блокировки типовых скриптов сканирования сетевых портов на локальной системе пользователя. Напомним, что в мае было выявлено сканирование локальных портов при открытии сайта eBay.com. Выяснилось, что подобная практика не ограничивается eBay и многие другие сайты (Citibank, TD Bank, Sky, GumTree, WePay и т.п.) применяют сканирование портов локальной системы пользователя при открытии своих страниц, используя код для выявления попыток обращения со взломанных компьютеров, предоставляемый сервисом ThreatMetrix.
В случае eBay выполнялось проверка 14 сетевых портов, ассоциированных с клиентами удалённого доступа, такими как VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin и RDP. Вероятно проверка выполняется для определения наличия следов поражения системы вредоносным ПО с целью предотвращения совершения мошеннических покупок с использованием ботнетов. Сканирование также может применяться для получения данных для косвенной идентификации пользователя.
Для сканирования применяется техника, основанная на попытке установки соединений к различным сетевым портам хоста 127.0.0.1 (localhost) через WebSocket. Факт наличия открытого сетевого порта определяется косвенно на основе различия в обработке ошибок подключения к активным и не используемым сетевым портам. WebSocket позволяет отправлять только HTTP-запросы, но подобный запрос для неактивного сетевого порта завершается ошибкой сразу, а для активного порта лишь через некоторое время, уходящее на попытку согласования соединения. Кроме того, в случае неактивного порта WebSocket выдаёт код ошибки подключения (ERR_CONNECTION_REFUSED), а в случае активного - код ошибки согласования соединения.
Кроме сканирования портов WebSockets также может применяться для атак на системы web-разработчиков, запускающих на локальной системе WebSocket-обработчики для приложений React. Внешний сайт может перебрать сетевые порты, определить наличие такого обработчика и подключиться к нему. Если разработчик допустит ошибку, атакующий сможет получить содержимое отладочных данных, которые могут включать отрывочные конфиденциальные сведения.
OpenNet
8.06.20
В применяемый в uBlock Origin фильтр EasyPrivacy добавлены правила для блокировки типовых скриптов сканирования сетевых портов на локальной системе пользователя. Напомним, что в мае было выявлено сканирование локальных портов при открытии сайта eBay.com. Выяснилось, что подобная практика не ограничивается eBay и многие другие сайты (Citibank, TD Bank, Sky, GumTree, WePay и т.п.) применяют сканирование портов локальной системы пользователя при открытии своих страниц, используя код для выявления попыток обращения со взломанных компьютеров, предоставляемый сервисом ThreatMetrix.
В случае eBay выполнялось проверка 14 сетевых портов, ассоциированных с клиентами удалённого доступа, такими как VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin и RDP. Вероятно проверка выполняется для определения наличия следов поражения системы вредоносным ПО с целью предотвращения совершения мошеннических покупок с использованием ботнетов. Сканирование также может применяться для получения данных для косвенной идентификации пользователя.
Для сканирования применяется техника, основанная на попытке установки соединений к различным сетевым портам хоста 127.0.0.1 (localhost) через WebSocket. Факт наличия открытого сетевого порта определяется косвенно на основе различия в обработке ошибок подключения к активным и не используемым сетевым портам. WebSocket позволяет отправлять только HTTP-запросы, но подобный запрос для неактивного сетевого порта завершается ошибкой сразу, а для активного порта лишь через некоторое время, уходящее на попытку согласования соединения. Кроме того, в случае неактивного порта WebSocket выдаёт код ошибки подключения (ERR_CONNECTION_REFUSED), а в случае активного - код ошибки согласования соединения.
Кроме сканирования портов WebSockets также может применяться для атак на системы web-разработчиков, запускающих на локальной системе WebSocket-обработчики для приложений React. Внешний сайт может перебрать сетевые порты, определить наличие такого обработчика и подключиться к нему. Если разработчик допустит ошибку, атакующий сможет получить содержимое отладочных данных, которые могут включать отрывочные конфиденциальные сведения.
OpenNet
