https://www.golem.de/2005/148690-232059-232057_rc.jpg
Ebay(Bild: Pierre Omidyar/CC-BY 2.0)

Ebay.de scannt den Rechner auf offene Ports

Per Javascript werden 14 Ports auf dem lokalen PC abgeklopft.

by

Beim Aufruf der Webseiten Ebay.de und Ebay.com wird der Rechner des Nutzenden auf offene Ports gescannt. Mit einem Javascript klopft Ebay 14 Ports des lokalen Rechners ab, die von bekannten Fernwartungstools verwendet werden. Ein offener Port deutet darauf hin, dass ein entsprechender Dienst auf dem Rechner aktiv ist. Entdeckt hatte das Vorgehen der Sicherheitsforscher Charlie Belmer.

Mit dem Javascript-Skript Check.js versucht Ebay per Websockets eine Verbindung zu 127.0.0.1, der IP-Adresse des lokalen Rechners, aufzubauen. Golem.de konnte das Verhalten mit den Entwicklertools des Browsers Firefox nachvollziehen. Beim ersten Aufruf der Webseiten Ebay.de und Ebay.com werden unter Windows folgende Ports gescannt:

RDP (Remote Desktop Protocol): 3389
VNC: 5900, 5901, 5902, 5903
Teamviewer: 5939, 5944, 6039, 6040
Anyplace Control: 5279
Anydesk: 7070
Aeroadmin: 5950
Ammyy Admin: 5931
Tripp Lite Power Alert: 63333

Wird Ebay.de oder Ebay.com unter Linux aufgerufen wird kein Portscan durchgeführt. Bei den aufgelisteten Fernwartungstools handelt es sich primär um Windows-Tools. Diese werden beispielsweise von Administratoren verwendet, um auf entfernte Rechner zuzugreifen und beispielsweise Computerprobleme von Mitarbeitern zu lösen oder die Rechner zu administrieren. Die Ports oder Tools können jedoch auch von Angreifern verwendet werden, um Rechner zu übernehmen oder mit diesen zu kommunizieren. Entsprechend wenig aussagekräftig ist einer der offenen Ports.

https://scr3.golem.de/screenshots/2005/ebay-portscan/thumb620/ebay-portscan.png
Ebay.de scannt 14 lokale Ports. (Screenshot: Golem.de)

Auf eine Nachfrage von Golem.de, warum der Portscan durchgeführt wird, hat Ebay bisher noch nicht reagiert. Möglicherweise führt Ebay den Scan aus Sicherheitserwägungen durch und möchte damit einen Schadsoftwarebefall erkennen. "Unabhängig davon, ob der Portscan als Teil einer Infektion oder als Teil von sogenannten Sicherheitskontrollen im E-Commerce oder bei Banken verwendet wird, handelt es sich eindeutig um böswilliges Verhalten", betont Belmer. Offene Ports seien ohnehin ein "schlechter Indikator für Schadsoftware".