Подозрительный подпроцесс Firefox (оказался законным поведением FF),

Это связано с многопроцессорной функцией Firefox, пройдите по следующей официальной ссылке.

https://support.mozilla.org/en-US/questions/1147868#answer-938004

На этом есть много других веток Linux, с теми же выводами, что и вы опубликовали, и все они связаны с функцией многопроцессорности Firefox.

Последние версии Firefox работают с несколькими процессами вместо одного процесса.

Многопроцессорность применима ко всем пользователям Firefox, так как Firefox 54 был дебютирован в июне 2017 года . В документации Multiprocess Firefox описывается, что Firefox запускает пользовательский интерфейс браузера в отдельном процессе от веб-содержимого. В результате пользователи могут видеть «подозрительный подпроцесс» в списке процессов.

Многие конечные пользователи, похоже, обеспокоены загадочной частью подпроцесса, о чем говорилось в этом форуме на mozillaZine и ] эта ветка форума в службе поддержки Mozilla ; слишком много, чтобы здесь цитировать.

Прямые ответы

Для меня это похоже на эксплойт / вредоносное ПО (является ли подпроцесс вредоносным?)

Нет,Последние версии Firefox ведут себя так.

Или, по крайней мере, есть что скрывать (есть что скрывать?)

Нет. Конечные пользователи могут видеть не то, что видят разработчики; очень немногие пользователи могли заметить, что ничего не скрыто.

Как можно быть уверенным

Есть две причины, по которым мы можем быть уверены:

1. Тот факт, что разработчики не удосужились объяснить детали подпроцесса , это причина, по которой мы можем быть уверены, что он не является вредоносным. По крайней мере, я не нашел таких подробностей на сегодняшний день.

2. Этот частичный ответ TT Farreo на Stack Overflow в конце 2017 года намекнул, что загадочная часть подпроцесса связана со списком символов из черного списка Mozilla .

Из частичного ответа на Stack Overflow:

Список странно выглядящих символов, кажется, соответствует черным спискам символов, перечисленным в http://kb.mozillazine.org/Network.IDN.blacklist_chars [...]

Теперь мы можем разобраться в странных символах:

• Видите эти символы дроби? Проверено.
• Видите эти символы двоичного блока? Проверено.
• Видите эти невидимые места? Проверено.
• Видите сплющенную единицу радиан штука? Проверено.
• Видите вопросительный знак в черном ромбе? Проверено.

Ответ на Stack Overflow также включал ссылку на исходный код процесса содержимого, используемого Firefox. Конечные пользователи обычно не вдавались в подробности, поэтому ответа на Ask Ubuntu было бы достаточно.

Подпроцесс нормальный, вот и все.

Я заметил то же самое вчера вечером и начал проверять его с помощью xxd . Мое лучшее предположение было бы заключалось в том, что это способ передачи указателей на общие ресурсы или идентификации себя (соседние виртуальные местоположения и постоянная длина вызовут периодичность), но некоторые вещи убедили меня в обратном.

c783 cb90 3f3f d689 d68a d783 
d7b4 d889 d88a d9aa db94 dc81 
dc82 dc83 dc84 e185 9fe1 85a0 
e19c b5e2 8080 e280 81e2 8082 
e280 83e2 8084 e280 85e2 8086 
e280 87e2 8088 e280 89e2 808a 
3f3f 3fe2 8090 e280 99e2 80a4 
e280 a73f 3f3f 3f3f 3f3f e280 
afe2 80b9 e280 bae2 8181 e281 
84e2 8192 e281 9fe2 8593 e285 
94e2 8595 e285 96e2 8597 e285 
98e2 8599 e285 9a3f e285 9ce2 
859d e285 9ee2 859f e288 95e2 
88b6 e28e aee2 95b1 e2a7 b6e2 
a7b8 e2ab bbe2 abbd e2bf b0e2 
bfb1 e2bf b2e2 bfb3 e2bf b4e2 
bfb5 e2bf b6e2 bfb7 e2bf b8e2 
bfb9 e2bf bae2 bfbb e380 80e3 
8082 e380 94e3 8095 e380 b3e3 
82a0 e385 a4e3 889d e388 9ee3 
8eae e38e afe3 8f86 e38f 9fea 
9e89 efb8 94ef b895 efb8 bfef 
b99d efb9 9e3f efbc 8eef bc8f 
efbd a1ef bea0 3f3f 3fef bfbc 
efbf bd0a

Я обрезал. до предыдущей новой строки (и оставил ее, 0a , в конце). Я выровнял ее, основываясь только на повторении, то есть 12 байтов на строку до частичной 25-й строки. Причина, по которой я разместил байты таким образом, заключалась в том, чтобы показать, что существуют (как выглядят) продолжения UTF8 (таблица внизу). Тем не менее, стоит упомянуть, что следуя соглашению об установленных и хорошо известное кодирование дает то же преимущество: вы можете представлять большие значения, но сохраняйте небольшие компактные. С другой стороны, по какой-то причине они, кажется, связаны друг с другом ? и только байты больше 80. Следующий раздел этой страницы Википедии показывает, что в этом диапазоне есть печатаемые символы, но их все меньше и дальше . Я не верю, что цель имела какое-либо отношение к составлению очень широких символов UTF8, но вместо этого они как будто избегали более универсально печатаемых символов в наборе ASCII. На данный момент лучшее, что я могу придумать, - это то, что они знали, что им придется кодировать и вставлять строки произвольной длины, а именно stringPrefs, и, возможно, решили использовать старшие байты, зажатые между младшими байтами, что упростило извлечение. Насколько я могу судить, ? служат как разделителями, так и заполнением.

Я не удовлетворен, но мне нечего предложить. Для моей выгоды я начал заменять наиболее распространенные символы, и мне стало немного легче увидеть, что происходит:

c783 cb90      d689 d68a d783
d7b4 d889 d88a d9aa db94 dc81
dc82 dc83 dc84 e185 9fe1 85a0
e19c b5++ ---- ++-- 81++ --82
++-- 83++ --84 ++-- 85++ --86
++-- 87++ --88 ++-- 89++ --8a
       ++ --90 ++-- 99++ --a4
++-- a7                  ++--
af++ --b9 ++-- ba++ 8181 ++81
84++ 8192 ++81 9f++ 8593 ++85
94++ 8595 ++85 96++ 8597 ++85
98++ 8599 ++85 9a   ++85 9c++
859d ++85 9e++ 859f ++88 95++
88b6 ++8e ae++ 95b1 ++a7 b6++
a7b8 ++ab bb++ abbd ++bf b0++
bfb1 ++bf b2++ bfb3 ++bf b4++
bfb5 ++bf b6++ bfb7 ++bf b8++
bfb9 ++bf ba++ bfbb e3-- --e3
--82 e3-- 94e3 --95 e3-- b3e3
82a0 e385 a4e3 889d e388 9ee3
8eae e38e afe3 8f86 e38f 9fea
9e89 efb8 94ef b895 efb8 bfef
b99d efb9 9e   efbc 8eef bc8f
efbd a1ef bea0        ef bfbc
efbf bd0a

Я вижу гораздо больше структуры, чем я мог ожидать от зашифрованных и закодированных строк, если это не какая-то стеганография. Если кто-нибудь может принять эстафету, я был бы благодарен, и не только потому, что мне любопытно - я хотел бы узнать раньше, чем позже, есть ли там что-нибудь стоящее .