Search the Community

С выходом Firefox 59 при использовании режима приватного просмотра содержащаяся в HTTP referrer информация отображаться больше не будет. Таким образом разработчики браузера намерены обезопасить пользователей от случайных утечек конфиденциальных данных. Содержащиеся в HTTP referrer сведения являются важной частью функционирования интернета, но не имеют никакого значения для рядовых пользователей Сети. Эти данные передаются браузером, когда пользователь кликает по ссылке. К примеру, если пользователь перейдет с сайта 1 на сайт 2, web-мастер сайта 2 будет знать, что пользователь перешел на его сайт с сайта 1. Информация содержится в поле «Referrer Value» HTTP-запроса. Несмотря на всю пользу «Referrer Value», уже известны случаи, когда с ним возникали проблемы. К примеру, в январе 2015 года специалисты «Фонда электронных рубежей» обнаружили, что в URL сайта HealthCare.gov содержалась конфиденциальная информация пациентов. С выходом Firefox 59 в середине следующего месяца «Referrer Value» больше не будет содержать чувствительные данные, но только при использовании режима приватного просмотра (в режиме по умолчанию все останется, как прежде). Mozilla также не планирует в будущем убирать данные из режима обычного просмотра, поскольку они необходимы для функционирования интернета. Кроме того, политика не будет действовать в двух случаях, даже при включенном режиме приватного просмотра. Во-первых, в случае, если владелец сайта использует принятый Консорциумом Всемирной паутины (W3C) стандарт для создания собственной политики в отношении HTTP referrer. Во-вторых, когда пользователь сам меняет установленные по умолчанию настройки HTTP referrer на уровне браузера. HTTP referrer – один из заголовков запроса клиента. Содержит URL источника запроса. Если перейти с одной страницы на другую, referrer будет содержать адрес первой страницы. Часто на HTTP-сервере устанавливается программное обеспечение, анализирующее referrer и извлекающее из него различную информацию.

Исследователи из компании MalwarebytesLab обнаружили вредоносную кампанию, в рамках которой злоумышленники используют необычный формат URL для перенаправления на страницу, содержащую набор эксплоитов Rig, который, в свою очередь, загружает на компьютер жертвы вредоносное ПО Smoke Loader. Как поясняется в блоге компании, при анализе вредоносного трафика исследователи обращают внимание на ряд аспектов, в том числе на имена хост-узлов и IP-адреса, используемые в атаках. Имя хоста может отображаться как доменное имя (например, http://example.com/), полное доменное имя (http://test.example.com/) или IP-адрес (http://127.0.0.1/). IP-адрес представляет собой серию из 32 двоичных бит (единиц и нулей). Человеку прочесть двоичный IP-адрес очень сложно, поэтому 32 бита группируются по четыре 8-битных байта, в так называемые октеты. Для облегчения понимания каждый октет IP-адреса представлен в виде своего десятичного значения (значение каждого из четырех октетов находится в диапазоне от 0 до 255). Октеты разделяются десятичной точкой. Однако в ряде случаев октеты могут не разделяться точками http://2130706433/).С одним из таких случаев столкнулись специалисты MalwarebytesLab. В ходе анализа цепочки заражения Rig исследователи обнаружили имя хоста в формате http://1760468715, который Internet Explorer и Google Chrome без труда преобразовывали в более привычный IP-адрес (104.238.158.235). Исследователи выявили ряд скомпрометированных сайтов, переадресовывавших пользователей на URL http://1760468715, откуда происходило перенаправление на страницу, содержащую Rig. Как полагают эксперты, путем использования не самого распространенного формата URL злоумышленники пытались усложнить идентификацию или обойти IP-фильтры.