China ha ganado una considerable atención mundial cuando se trata de sus
políticas de Internet en los últimos años; si se trata de la introducción de su
propio motor de búsqueda llamado "Baidu," Gran Firewall de China, su sistema
operativo homebrew China (CP) y muchos más.
Junto con los desarrollos, China siempre ha sido criticado por presuntos
puertas traseras en sus productos: Xiaomi y Estrella N9500 teléfonos
inteligentes son los mejores ejemplos.
Ahora, los proveedores de servicios de Internet (ISPs) chinos han sido
sorprendidos in fraganti para inyectar estos anuncios, así como de malware a
través de su tráfico de red.
Tres investigadores israelíes descubrieron que los principales proveedores
de Internet basados en chino llamado de China Telemando China Unicom, dos de
los operadores de redes más grandes de Asia, han participado en una práctica
ilegal de la inyección de contenido en el tráfico de red.
ISP chinas habían establecido muchos servidores proxy para contaminar el
tráfico de red del cliente, no sólo con los anuncios insignificantes, sino
también enlaces de malware, en algunos casos, dentro de los sitios web que
visitan.
Si un usuario de Internet intenta acceder a un dominio que reside en estas
ISP chinas, el paquete forjado redirige el navegador del usuario para analizar
las rutas de red sin escrúpulos. Como resultado, el tráfico legítimo del cliente
será redirigido a sitios maliciosos / Clasificados, beneficiando a los
proveedores de Internet.
Así es como se inyectan el malware y Anuncios:
En el trabajo de investigación titulado "-sitio web dirigido Falso
Inyección contenido por los operadores de redes, 'los investigadores israelíes
escribieron que la táctica se ha expandido a los ISP fundamentales - las
compañías de Internet que los ISP borde de interconexión con el resto de los
proveedores de Internet a nivel mundial.
Estas haber establecido servicios de servidores especializados que
supervisan el tráfico de red para las direcciones URL específicas y se mueven a
alterarlo, sin importar los usuarios finales son sus clientes o no.
Los métodos de inyección:
Varios métodos han sido adoptados por los ISP para infiltrarse en el
tráfico legítimo. Algunos de ellos son:
1- fuera de banda TCP Inyección
A diferencia del pasado, cuando los ISP modifican los paquetes de red para
inyectar anuncios, los operadores de red a enviar los paquetes falsificados sin
dejar caer los legítimos.
Curiosamente, en lugar de intercepción o reescritura de paquetes de red, la
clonación de respuestas de packets HTTP había sido adoptado por los ISP para replicar
la infección. Los clones ISP el tráfico legítimo, modifica el clon y, a
continuación, envía dos paquetes al destino deseado.
Por lo tanto, en última instancia, hay 2 respuestas generadas por paquetes
para una única solicitud. Por lo tanto, existe la posibilidad de paquetes
forjado para ganar la carrera, mientras que fiarse de un paquete llega a su fin.
Dado que el tráfico clonado no siempre llegará a los usuarios finales, el tráfico inyectado es más difícil de detectar.
Sin embargo, un análisis serio con netsniff-ng nos ayudara a detectar a los paquetes
falsos.
2) Inyección HTTP
HTTP es un protocolo cliente-servidor sin estado que utiliza TCP como su
transporte. Como TCP sólo acepta el paquete inicial sobre su receival y descarta
la segunda, hay una oportunidad de recibir el paquete falso en primer lugar; si
la infección había sido llevado a cabo.
A continuación, el usuario puede obtener una respuesta con el número de
estado HTTP 302 (redirección) en lugar de HTTP Estado Número 200 (OK) y se
re-enrutado a los otros enlaces no fiar.
Cómo identificar estos Rogue paquetes?
1) La identificación IP
Valor de identificación IP no contiene un contador que se incrementa de
forma secuencial después de cada envió el paquete.
El paquete forjado regresa poco después de hacer una solicitud que se
presenta como un paquete de fiar. Pero la marca de tiempo en cada paquete que es
evidencia suficiente para eliminar el paquete sin escrúpulos.
El paquete de forjado es la que tiene la mayor diferencia absoluta entre el
valor de identificación y el promedio de los valores de identificación de todos
los otros paquetes
2) TTL (Tiempo total para vivir)
Cada paquete recibido contiene un valor inicial establecido por el
remitente que calcula el número de saltos incluidos en el paquete durante la
transmisión.
Si el paquete es recibido con diferente número de cuenta de saltos,
entonces sería claramente dibuja una línea entre los más de fiar.
El paquete de forjado es la que tiene la mayor diferencia absoluta entre su
valor TTL y el promedio de los valores de TTL de todos los otros paquetes
3) Análisis de temporización
sello de tiempo en el paquete capturado por los sistemas de vigilancia en
la entrada a la red Edge sería averiguar la genuinidad.
El paquete de datos con aparente tiempo muy cerca diferenciaría los
paquetes legítimos de los paquetes falsificados con la hora de llegada sin
igual.