Пользователь «Хабра» заметил, что сайт Ростелекома сканирует его компьютер. Провайдер объяснил это борьбой с мошенниками Статьи редакции

Сайт собирает данные об активности пользователей под предлогом заботы о безопасности.

Пользователь «Хабра» под псевдонимом force рассказал, как случайно обнаружил сканирование локальных сервисов на его компьютере со стороны Ростелекома. Как оказалось, личный кабинет провайдера постоянно отсылает запросы на устройство и пытается втайне собрать данные.

По словам force, он заподозрил неладное, когда увидел, что кто-то пытается подключиться к порту 5900. Обычно его использует протокол RFB, предназначенный для удалённого доступа к рабочему столу компьютера.

Пользователь решил, что раз соединение блокируется, то нужно сделать так, чтобы на нём «кто-то сидел». Для этого он запустил «интеллектуальный» TCP-сервер на платформе Node.js, который просто держал соединение с помощью команды «server.listen(5900, function () {});». В результате выяснилось, что к порту пытался подключиться Firefox.

После этого force начал выяснять, какая вкладка или расширение это делают, но внутренние инструменты браузера на страницах about:peformance и about:networking не показали id процесса, который делал сетевые запросы. Из-за большого количества открытых страниц пользователь «Хабра» не мог найти нужную сразу, но позже обнаружил страницу, которая делала запросы — личный кабинет Ростелекома.

Как узнал force, сайт сканировал как минимум 14 портов, каждый из которых обычно используют разные сетевые протоколы, программы или вирусы.

• 5900 — VNC — система удалённого доступа к рабочему столу, использующая протокол RFB;
• 6900 — BitTorrent — пиринговый протокол для обмена файлами;
• 5650 — обычно использует троян Pizza;
• 5931 — неизвестно;
• 5938 — обычно используется программой для удалённого управления рабочим столом TeamViewer;
• 5939 — неизвестно;
• 3389 — RDP — протокол удалённого управления рабочим столом, разрабатываемый Microsoft;
• 8080 — HTTP — протокол передачи произвольных данных;
• 51 — обычно использует программа Fuck Lamers Backdoor, предназначенная для удалённой слежки, сбора данных и управления заражённым компьютером;
• 443 — HTTPS;
• 22 — SSH — протокол для удалённого управления компьютером с помощью командной строки;
• 445 — SMB — сетевой протокол для удалённого доступа к принтерам, файлам и другим сетевым ресурсам;
• 5985 — Microsoft Windows Remote Management — сервис для удалённого управления клиентскими и серверными Windows.

Force решил, что раз большинство портов предназначены для удалённого управления компьютером, то следует ожидать попыток проникновения на эти порты снаружи. Он нашёл несколько возможных объяснения, зачем Ростелеком сканирует эти порты.

• Личный кабинет взломан, и идёт попытка выяснить уязвимые компьютеры и подсадить пользователю троян;
• Это осознанное решение Ростелекома и попытка причинить вред пользователю;
• Это осознанное решение Ростелекома и попытка собрать данные о пользователе.

После этого пользователь «Хабра» под псевдонимом sashablashenkov предположил, что Ростелеком использует скрипт для проактивного отслеживания пользователей от компании Dynatrace. А другой пользователь под ником runalsh уточнил, что это разработка российской компании Group-IB.

Позже force выяснил адрес скрипта на сайте Ростелекома. Он отметил, что код обфусцирован — это значит, что его намеренно запутали, чтобы скрипт было труднее изучать.

TJ обратился за комментарием к Group-IB, но в компании посоветовали обратиться напрямую в Ростелеком. Пресс-служба провайдера рассказала, что скрипт используют в качестве антифрод-системы для предотвращения онлайн-мошенничества.

Представители Ростелекома назвали сканирование портов одним из способов предотвращения мошенничества наряду со многими другими. В компании отметили, что антифрод-систему начали использовать, потому что в последнее время участились попытки мошенничества с лицевыми счетами абонентов и бонусными программами компании.

Пресс-служба объяснила, что одним из индикаторов компрометации устройств являются открытые сетевые порты, которые используются для удалённого доступа. На основании сканирования портов и анализа предыдущей истории действий пользователей компания делает выводы о возможных угрозах профилю абонента.

#приватность #безопасность #ростелеком #взломы #провайдеры #интернет #новости