Firefox fährt DDoS-Attacke gegen Google und andere Seiten?

[thom53281]

Tag zusammen!

Ja, der Titel hört sich echt dämlich an, aber ich bin in der Tat der Meinung, selbiges festgestellt zu haben. Angefangen hat alles damit, dass seit kurzem Google mit einem Captcha gesperrt war und mich für einen Bot gehalten hat. Natürlich habe ich sofort mit einem Sniffer mein Netzwerk konsequent auseinandergenommen und in der Tat den Fehler gefunden: Ich bin weder infiziert noch schuld. Firefox ist schuld.

Bevor nun gleich die Aussage kommt: "Naja, da läuft bestimmt nur ein Plugin oder Addon amok oder das Browserprofil ist kaputt." - Nein, dem ist nicht so. Ich habe mehrere Testszenarien gestartet um das zweifelsfrei festzustellen. Der meiner Meinung nach ultimativste Test ist wie folgt:

• Man nehme ein
  You do not have permission to view link please Anmelden or Registrieren
  und boote das als Live-CD. Dort ist noch der alte Firefox 28.0 installiert.
• Im Firefox zunächst einmal die Startseite auf "leere Seite" umstellen, dazu in den erweiterten Optionen den Crash- und Health-Report abschalten, genauso wie das automatische Search-Engine-Update.
• Beim Start der Version 28.0 taucht im zwischengeschalteten Sniffing-Notebook kein einziges Paket auf (solange eben keine Website aufgerufen wird).
• Mit einem [kw]apt-get update[/kw] und einem [kw]apt-get install firefox[/kw] die Version 40.0.3 installieren.
• ??????
• Profit!
  Beim erneuten Start von Firefox verlassen plötzlich innerhalb weniger Minuten >2000 Pakete den PC in Richtung verschiedenster IP-Adressen (unter anderem auch extrem viele zu Google).

Getestet habe ich unter anderem auch noch die Debian-Versionen Iceweasel 31.8.0 und Iceweasel 38.2.0 unter einem frisch installierten Debian Jessie aus den offiziellen Paketquellen. Erstere sendet keine Daten, letztere ist ebenfalls von dem Problem betroffen (wie noch einige andere aktuelle Firefox-Versionen unter diversen Systemen).

Kann jemand von euch dieses Verhalten ebenfalls reproduzieren? Und falls ja, warum verdammt nochmal sendet der Firefox nun plötzlich so viele Daten in's WWW raus?

Danke!

 

[accC]

Da ich FF schon lange nicht mehr nutze, kann ich dir leider nicht sagen, ob das Verhalten normal und/ oder gewünscht ist.

Aber:

You do not have permission to view link please Anmelden or Registrieren

You do not have permission to view link please Anmelden or Registrieren

You do not have permission to view link please Anmelden or Registrieren

You do not have permission to view link please Anmelden or Registrieren

Insbesondere IRC und forums sind deine Anlaufstellen.
Ggf. kannst du auch bei

You do not have permission to view link please Anmelden or Registrieren

nachfragen.

 

[nik]

Hier wird aufgelistet, welche Anfragen Firefox rausschickt:

You do not have permission to view link please Anmelden or Registrieren

Das hat sich in den letzten Jahren geändert. Gerade wegen der Sicherheitseinstellungen wird da viel an Google geschickt.

Das hat allerdings nichts mit der Captcha-Sache zu tun.

 

[fryk]

Ich habe grad das Update von FF 38.0.5 auf 40.0.3 unter OS X gemacht und nichts Auffälliges festgestellt. Captchas bekomme ich gelegentlich von Google, wenn ich mit VPN unterwegs bin, sonst nicht. Das verschwindet, wenn ich die IP wechsele.

 

[drfuture]

@thom ist das wirklich nu ein GET? oder mehr?
Kannst du den tcp-Stream mal zusammenfügen und schauen was drin steht?
Solange TLS nicht an ist (scheint ja erst später zu passieren) - kannst du ja in die Pakete rein schauen ....

 

[thom53281]

In der Tat scheint die Funktion "Firefox-Betrugsversuchs- und Angriffsschutz" der Auslöser für diese Pakete zu sein. Sobald ich das Feature abschalte, treten diese nicht mehr auf. Dann habe ich nur noch eine vernünftige Erklärung für das Verhalten:
Hier laufen mehrere Firefox-Instanzen auf mehreren Computern. Kann sich dabei auch mal um bis zu 5 Stück handeln. Dazu hat auch noch Thunderbird 2 Gmail-Accounts angebunden und läuft auf 2 Systemen. Sieht wohl ganz danach aus, als hätten die Änderungen bei der Angrifsschutz-Funktion das Fass zum überlaufen gebracht, denn früher war das nie ein Problem. Werde die Funktion mal abschalten und weiter beobachten.

 

[edoep]

Captchas bekomme ich gelegentlich von Google, wenn ich mit VPN unterwegs bin, sonst nicht. Das verschwindet, wenn ich die IP wechsele.

Aktuell (seit ca. 3 Tagen, soweit ich das en passant beobachte - OHNE GEWAEHR, +/- 1 Tag) bei 'Browsec' im Chrome - sonst nicht. BROWSEC abgeschaltet resp. ersetzt ==> problem solved.

Spoiler

Weiters habe ich nicht investigiert.
1. Es ist WE - ud ich werde nicht dafuer bezahlt.
2. Ich bin per default faul.

 

[eraser]

Ich hatte gestern sogar auf dem Handy (Rechner waren aus) über das heimische Netzwerk diese Captchaabfrage (iOS, Safari). Ich habe sie noch nie vorher gesehen und wusste noch nichtmal dass es sowas überhaupt gibt.