Ñàéò ñîáèðàåò äàííûå îá àêòèâíîñòè ïîëüçîâàòåëåé ïîä ïðåäëîãîì çàáîòû î áåçîïàñíîñòè.
Ïîëüçîâàòåëü «Õàáðà» ïîä ïñåâäîíèìîì force ðàññêàçàë, êàê ñëó÷àéíî îáíàðóæèë ñêàíèðîâàíèå ëîêàëüíûõ ñåðâèñîâ íà åãî êîìïüþòåðå ñî ñòîðîíû Ðîñòåëåêîìà. Êàê îêàçàëîñü, ëè÷íûé êàáèíåò ïðîâàéäåðà ïîñòîÿííî îòñûëàåò çàïðîñû íà óñòðîéñòâî è ïûòàåòñÿ âòàéíå ñîáðàòü äàííûå.
Ñåãîäíÿ ÿ ñîâåðøåííî ñëó÷àéíî îáíàðóæèë, ÷òî ëè÷íûé êàáèíåò Ðîñòåëåêîìà çàíèìàåòñÿ ñîâåðøåííî âðåäîíîñíîé äåÿòåëüíîñòüþ, à èìåííî, ñêàíèðóåò ëîêàëüíûå ñåðâèñû íà ìî¸ì êîìïüþòåðå.
Ïî ñëîâàì force, îí çàïîäîçðèë íåëàäíîå, êîãäà óâèäåë, ÷òî êòî-òî ïûòàåòñÿ ïîäêëþ÷èòüñÿ ê ïîðòó 5900. Îáû÷íî åãî èñïîëüçóåò ïðîòîêîë RFB, ïðåäíàçíà÷åííûé äëÿ óäàë¸ííîãî äîñòóïà ê ðàáî÷åìó ñòîëó êîìïüþòåðà.
Êòî-òî ñ ëîêàëõîñòà [êîìïüþòåðà ïîëüçîâàòåëÿ] ïûòàåòñÿ çàëåçòü íà ïîðò 5900, çíà÷èò, ýòî âèðóñ èëè åù¸ ÷òî-òî ïîõóæå. Êîíå÷íî æå, ìåíÿ ïðîáèë õîëîäíûé ïîò, è ÿ ïîø¸ë èñêàòü äàííîãî âðåäèòåëÿ. Áûñòðûé àíàëèç ïîêàçàë, ÷òî äîëá¸æêà èä¸ò êàæäûå 10 ìèíóò è äåëàåòñÿ 11 ïîïûòîê ïîäêëþ÷èòüñÿ. Îñòàëîñü âûÿñíèòü, êòî ýòî äåëàåò.
Ïîëüçîâàòåëü ðåøèë, ÷òî ðàç ñîåäèíåíèå áëîêèðóåòñÿ, òî íóæíî ñäåëàòü òàê, ÷òîáû íà í¸ì «êòî-òî ñèäåë». Äëÿ ýòîãî îí çàïóñòèë «èíòåëëåêòóàëüíûé» TCP-ñåðâåð íà ïëàòôîðìå Node.js, êîòîðûé ïðîñòî äåðæàë ñîåäèíåíèå ñ ïîìîùüþ êîìàíäû «server.listen(5900, function () {});».  ðåçóëüòàòå âûÿñíèëîñü, ÷òî ê ïîðòó ïûòàëñÿ ïîäêëþ÷èòüñÿ Firefox.
Äàëüøå ÿ ïîø¸ë âûÿñíÿòü, êàêîé æå èç òàáîâ èëè ðàñøèðåíèé ôàåðôîêñà ýòî äåëàåò. Îêàçàëîñü, ÷òî íè about:peformance, íè about:networking íå ïîêàçûâàþò id ïðîöåññà, êîòîðûé ìîæåò äåëàòü ñåòåâûå çàïðîñû. Çàòî ÿ âûÿñíèë, ÷òî ýòî îñíîâíîé ïðîöåññ áðàóçåðà, à íå äîïîëíèòåëüíûé äëÿ âêëàäîê èëè ðàñøèðåíèé, ÷òî çàòðóäíèëî âûÿñíåíèå âðåäèòåëÿ (äà, ó ìåíÿ êàê âñåãäà îòêðûòà êó÷à âêëàäîê è íàéòè íóæíóþ — äîñòàòî÷íî òÿæåëî).
Íî ñ ïîìîùüþ òåðïåíèÿ, ÿ íàø¸ë çàìå÷àòåëüíóþ âêëàäêó, â äåâåëîïåðñêîé êîíñîëè êîòîðîé îêàçàëèñü çàìå÷àòåëüíûå ñòðî÷êè:
Êàê óçíàë force, ñàéò ñêàíèðîâàë êàê ìèíèìóì 14 ïîðòîâ, êàæäûé èç êîòîðûõ îáû÷íî èñïîëüçóþò ðàçíûå ñåòåâûå ïðîòîêîëû, ïðîãðàììû èëè âèðóñû.
5900 — VNC — ñèñòåìà óäàë¸ííîãî äîñòóïà ê ðàáî÷åìó ñòîëó, èñïîëüçóþùàÿ ïðîòîêîë RFB; 6900 — BitTorrent — ïèðèíãîâûé ïðîòîêîë äëÿ îáìåíà ôàéëàìè; 5650 — îáû÷íî èñïîëüçóåò òðîÿí Pizza; 5931 — íåèçâåñòíî; 5938 — îáû÷íî èñïîëüçóåòñÿ ïðîãðàììîé äëÿ óäàë¸ííîãî óïðàâëåíèÿ ðàáî÷èì ñòîëîì TeamViewer; 5939 — íåèçâåñòíî; 3389 — RDP — ïðîòîêîë óäàë¸ííîãî óïðàâëåíèÿ ðàáî÷èì ñòîëîì, ðàçðàáàòûâàåìûé Microsoft; 8080 — HTTP — ïðîòîêîë ïåðåäà÷è ïðîèçâîëüíûõ äàííûõ; 51 — îáû÷íî èñïîëüçóåò ïðîãðàììà Fuck Lamers Backdoor, ïðåäíàçíà÷åííàÿ äëÿ óäàë¸ííîé ñëåæêè, ñáîðà äàííûõ è óïðàâëåíèÿ çàðàæ¸ííûì êîìïüþòåðîì; 443 — HTTPS; 22 — SSH — ïðîòîêîë äëÿ óäàë¸ííîãî óïðàâëåíèÿ êîìïüþòåðîì ñ ïîìîùüþ êîìàíäíîé ñòðîêè; 445 — SMB — ñåòåâîé ïðîòîêîë äëÿ óäàë¸ííîãî äîñòóïà ê ïðèíòåðàì, ôàéëàì è äðóãèì ñåòåâûì ðåñóðñàì; 5985 — Microsoft Windows Remote Management — ñåðâèñ äëÿ óäàë¸ííîãî óïðàâëåíèÿ êëèåíòñêèìè è ñåðâåðíûìè Windows.
Force ðåøèë, ÷òî ðàç áîëüøèíñòâî ïîðòîâ ïðåäíàçíà÷åíû äëÿ óäàë¸ííîãî óïðàâëåíèÿ êîìïüþòåðîì, òî ñëåäóåò îæèäàòü ïîïûòîê ïðîíèêíîâåíèÿ íà ýòè ïîðòû ñíàðóæè.
Ïîñëå ýòîãî ïîëüçîâàòåëü «Õàáðà» ïîä ïñåâäîíèìîì sashablashenkov ïðåäïîëîæèë, ÷òî Ðîñòåëåêîì èñïîëüçóåò ñêðèïò äëÿ ïðîàêòèâíîãî îòñëåæèâàíèÿ ïîëüçîâàòåëåé îò êîìïàíèè Dynatrace. À äðóãîé ïîëüçîâàòåëü ïîä íèêîì runalsh óòî÷íèë, ÷òî ýòî ðàçðàáîòêà ðîññèéñêîé êîìïàíèè Group-IB.
Ïîçæå force âûÿñíèë àäðåñ ñêðèïòà íà ñàéòå Ðîñòåëåêîìà. Îí îòìåòèë, ÷òî êîä îáôóñöèðîâàí — ýòî çíà÷èò, ÷òî åãî íàìåðåííî çàïóòàëè, ÷òîáû ñêðèïò áûëî òðóäíåå èçó÷àòü.
TJ îáðàòèëñÿ çà êîììåíòàðèåì ê Group-IB, íî â êîìïàíèè ïîñîâåòîâàëè îáðàòèòüñÿ íàïðÿìóþ â Ðîñòåëåêîì. Ïðåññ-ñëóæáà ïðîâàéäåðà ðàññêàçàëà, ÷òî ñêðèïò èñïîëüçóþò â êà÷åñòâå àíòèôðîä-ñèñòåìû äëÿ ïðåäîòâðàùåíèÿ îíëàéí-ìîøåííè÷åñòâà.
Îáåñïå÷åíèå áåçîïàñíîñòè îêàçûâàåìûõ ñåðâèñîâ ÿâëÿåòñÿ îäíèì èç îñíîâíûõ ïðèîðèòåòîâ Ðîñòåëåêîìà. Èñïîëüçóåìàÿ â lk.rt.ru àíòèôðîä-ñèñòåìà îäíèì èç ñâîèõ äåéñòâèé îñóùåñòâëÿåò àíàëèç ïîëüçîâàòåëüñêîé ñåññèè. Ïðè ýòîì îñóùåñòâëÿåòñÿ ñáîð äàííûõ îá àêòèâíîñòè ïîëüçîâàòåëÿ è ïîèñê èíäèêàòîðîâ êîìïðîìåòàöèè óñòðîéñòâ ïîëüçîâàòåëÿ. - ïðåññ-ñëóæáà Ðîñòåëåêîìà
Ïðåäñòàâèòåëè Ðîñòåëåêîìà íàçâàëè ñêàíèðîâàíèå ïîðòîâ îäíèì èç ñïîñîáîâ ïðåäîòâðàùåíèÿ ìîøåííè÷åñòâà íàðÿäó ñî ìíîãèìè äðóãèìè.  êîìïàíèè îòìåòèëè, ÷òî àíòèôðîä-ñèñòåìó íà÷àëè èñïîëüçîâàòü, ïîòîìó ÷òî â ïîñëåäíåå âðåìÿ ó÷àñòèëèñü ïîïûòêè ìîøåííè÷åñòâà ñ ëèöåâûìè ñ÷åòàìè àáîíåíòîâ è áîíóñíûìè ïðîãðàììàìè êîìïàíèè.
Ïðåññ-ñëóæáà îáúÿñíèëà, ÷òî îäíèì èç èíäèêàòîðîâ êîìïðîìåòàöèè óñòðîéñòâ ÿâëÿþòñÿ îòêðûòûå ñåòåâûå ïîðòû, êîòîðûå èñïîëüçóþòñÿ äëÿ óäàë¸ííîãî äîñòóïà. Íà îñíîâàíèè ñêàíèðîâàíèÿ ïîðòîâ è àíàëèçà ïðåäûäóùåé èñòîðèè äåéñòâèé ïîëüçîâàòåëåé êîìïàíèÿ äåëàåò âûâîäû î âîçìîæíûõ óãðîçàõ ïðîôèëþ àáîíåíòà.
Èñòî÷íèêè: TJ, Õàáð
