Сканер портов в личном кабинете Ростелекома

AlexZir · 20.06.2019, 14:35

Пользователь Хабра force во время работы с личным кабинетов ростелекома обнаружил подозрительную активность на портах, провел исследование и выяснил любопытные вещи:

Цитата:

Сегодня я совершенно случайно обнаружил, что личный кабинет Ростелекома занимается совершенно вредоносной деятельностью, а именно, сканирует локальные сервисы на моём компьютере. Так как добиться от Ростелекома вменяемой информации практически нереально, решил указать про данную проблему на Хабре, чтобы хабровчане были в курсе, что можно ожидать весьма сомнительное поведение даже от крупных и серьёзных игроков.

А теперь, собственно детали.

Придя утром на работу, я обнаружил в логе системы замечательные строчки от VNC:

Connections: rejecting blacklisted connection: 127.0.0.1::22715

Т.е. кто-то с локалхоста пытается залезть на порт 5900, значит это вирус или ещё что-то похуже. Конечно же, меня пробил холодный пот, и я пошёл искать данного вредителя. Быстрый анализ показал, что долбёжка идёт каждые 10 минут и делается 11 попыток подключиться. Осталось выяснить, кто это делает.

Раз коннекшен блокируется, надо сделать так, чтобы кто-то сидел на нём. Самый простой способ для меня оказался в том, чтобы поднять на ноде интеллектуальный tcp-сервер, который ничего не делает и просто держит соединение.

server.listen(5900, function () {});
Посмотрел, кто туда подключился, оказалось, что это Firefox
...
И этой вкладкой оказался Личный кабинет Ростелекома. После этого выяснилось, что запросы идут следующего вида
...
14 достаточно интересных портов:
Порт Описание 5900 VNC 6900 Bittorrent 5650 Pizza trojan 5931 ? 5938 TeamViewer 5939 ? 3389 RDP 8080 HTTP 51 F**k Lamers Backdoor 443 HTTPS 80 HTTP 22 SSH 445 SMB 5985 Microsoft Windows Remote Management

Большинство портов — это средства для удалённого управления компьютером. Выходит, далее следует ожидать попыток проникновения на эти порты снаружи. Зачем это может быть?

У меня в голове следующие варианты:

Личный кабинет взломан, и идёт попытка выяснить уязвимые компьютеры и подсадить пользователю троян
Это осознанное решение Ростелекома и попытка сделать что-то нехорошее пользователю
Это осознанное решение Ростелекома и попытка собрать данные о пользователе

При этом мой компьютер не находится в сети Ростелекома, так что данные действия выглядят весьма и весьма грязно.

Подробнее в статье на хабре

Что я могу сказать по этому поводу? Мы все умрём!

DDREDD · 20.06.2019, 14:46

Цитата:

Сообщение от AlexZir

Что я могу сказать по этому поводу? Мы все умрём!

Пошел рыть умиральную яму

IronArgument · 20.06.2019, 15:20

Расписано так, будто это преступление какое-то. Если у тебя комп как проходной двор, нечего претензии любопытным предъявлять, они ходят туда, куда им позволяют зайти, и делают там то, что позволено сделать.

AlexZir · 20.06.2019, 15:47

Дело не в любопытстве, а в том, что сайт исполняет скрипт, используя браузер сканирует порты локального компьютера и отправляет информацию на удаленный сервер. Происходит это без уведомления владельца якобы для предотвращения вредоносной активности в личном кабинете. То есть для РТК клиент априори уже виноват, остается только обнаружить, в чём именно. Ну или же втюхать ему очередную подписку на антивирусник задорого.

20.06.2019, 15:20	#3 (permalink)
IronArgument Специалист Регистрация: 08.04.2015 Сообщений: 13,669 Сказал(а) спасибо: 107 Поблагодарили 56 раз(а) в 25 сообщениях Репутация: 76897	Расписано так, будто это преступление какое-то. Если у тебя комп как проходной двор, нечего претензии любопытным предъявлять, они ходят туда, куда им позволяют зайти, и делают там то, что позволено сделать. __________________ Errare humanum est, stultum est in errore perseverare.

20.06.2019, 15:47	#4 (permalink)
AlexZir support Регистрация: 19.08.2007 Адрес: Зея Сообщений: 15,797 Записей в дневнике: 71 Сказал(а) спасибо: 166 Поблагодарили 203 раз(а) в 86 сообщениях Репутация: 75760	Дело не в любопытстве, а в том, что сайт исполняет скрипт, используя браузер сканирует порты локального компьютера и отправляет информацию на удаленный сервер. Происходит это без уведомления владельца якобы для предотвращения вредоносной активности в личном кабинете. То есть для РТК клиент априори уже виноват, остается только обнаружить, в чём именно. Ну или же втюхать ему очередную подписку на антивирусник задорого. __________________ Убить всех человеков!

20.06.2019, 14:35
Helpmaster Member Регистрация: 08.03.2016 Сообщений: 0	Данные обсуждения имеют сходства с вашей темой Реклама в кабинете FB На личном компьютере вирусы Роутер для ростелекома

Ads
Яндекс Member Регистрация: 31.10.2006 Сообщений: 40200 Записей в дневнике: 0 Сказал(а) спасибо: 0 Поблагодарили 0 раз(а) в 0 сообщениях Репутация: 55070