uBlock Origin започна да блокира скриптовете за сканиране на мрежовите портове

В използвания от uBlock Origin филтър EasyPrivacy бяха добавени нови правила за блокиране на типовите скриптове за сканиране мрежовите портове на потребителските компютри. Да си припомним, че през месец май се разбра за осъществяване на тотално сканиране на потребителските мрежовите портове при посещаване на сайта eBay.com. Седмица по-късно стана ясно, че тази практика не се ограничава само с eBay – редица други сайтове също осъществяват локалното сканиране на мрежовите портове. Това са Citibank, TD Bank, Sky, GumTree, WePay, и т.н. При отваряне на техните уеб страници се използва скрипт за сканиране за отворени мрежови портове на потребителските компютри.

В случая с eBay се извършва проверка на 14 мрежови порта, които обикновено се използват за отдалечено управление с помощта на софтуер като VNC, TeamViewer, Anyplace Control, Aeroadmin, Ammy Admin и RDP. Навярно тази проверка се извършва с цел да се определи, дали потребителската система не е атакувана с подобен вредоносен код, който би могъл да се използва за мошенически покупки с използването на ботнети. От друга страна, това сканиране може да се използва за косвена идентификация на потребителите.

За сканирането  се използва техника, базирана на опит за осъществяване на връзка с различни мрежови портове на локалния хост 127.0.0.1 (localhost) чрез WebSocket. Наличието на отворен порт се определя косвено чрез измерване разликите в обработката на грешките в случай на активен и на неизползван мрежови порт. WebSocket дава възможност за изпращането само на HTTP заявки, като при неактивен мрежови порт процесът веднага приключва с грешка, а при активен порт минава известно време в осъществяване на опити за съгласуване на връзката. Освен това, при неактивен порт WebSocket дава грешката ERR_CONNECTION_REFUSED, а при активен – код на грешка при съгласуването на мрежовата връзка.

Освен за сканиране на мрежовите портове WebSocket може да се използва за атакуване на компютърните системи на уеб разработчиците, които стартират в своите локални устройства WebSocket за приложението React. Някой външен сайт би могъл да тества мрежовите портове, да определи наличието на подобна система и да се включи към нея. По този начин става възможен достъпа до конфиденциални данни.

За вградения тракер  на uBlock Origin е възможно да се зададат правила, които блокират скрипта за сканиране на портовете. С негова помощ може да се види, че скриптът за сканирана за отворени мрежови портове src.ebay-us.com/fp/check.js наистина се блокира от списъка с филтри EasyPrivacy.

Ако погледнем в историята на EasyPrivacy можем да видим, че това правило за eBay.com е било добавено преди 9 дни.

Сканирането на портовете от страна на другите сайтове се предотвратява чрез правило за блокиране на съдържанието /fp/tags.js?, което винаги присъства при извикването на този скрипт.

Сега списъкът EasyPrivacy блокира сканирането на портове от страна на eBay, Ameriprise, Citi, TD Bank, Lendup, BeachBody, Equifax IQ Connect и Sky. Но портовете отново се проверяват, ако се посетят TIAA.org, Chick-Fil-A, Gumtree и WePay.