Solicitações HEAD incomuns para URLs sem sentido do Chrome

Question

Eu notei um tráfego incomum vindo da minha estação de trabalho nos últimos dias. Estou vendo solicitações HEAD enviadas para URLs de caracteres aleatórios, normalmente três ou quatro em um segundo, e elas parecem vir do meu navegador Chrome. As solicitações são repetidas apenas três ou quatro vezes por dia, mas não identifiquei um padrão específico. Os caracteres da URL são diferentes para cada solicitação.

Aqui está um exemplo da solicitação registrada pelo Fiddler 2:

HEAD http://xqwvykjfei/ HTTP/1.1
Host: xqwvykjfei
Proxy-Connection: keep-alive
Content-Length: 0
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 6.1; en-US) AppleWebKit/534.13 (KHTML, like Gecko) Chrome/9.0.597.98 Safari/534.13
Accept-Encoding: gzip,deflate,sdch
Accept-Language: en-US,en;q=0.8
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.3

A resposta a esta solicitação é a seguinte:

HTTP/1.1 502 Fiddler - DNS Lookup Failed
Content-Type: text/html
Connection: close
Timestamp: 08:15:45.283

Fiddler: DNS Lookup for xqwvykjfei failed. No such host is known

Não consegui encontrar nenhuma informação nas pesquisas do Google relacionadas a esse problema. Não me lembro de ver esse tipo de tráfego antes do final da semana passada, mas pode ser que eu tenha perdido isso antes. A única modificação que fiz no meu sistema na semana passada que foi incomum foi adicionar o add-in / extensão do Delicious ao IE e ao Chrome. Eu removi os dois desde então, mas ainda estou vendo o tráfego. Eu executei varredura de vírus (Trend Micro) e HiJackThis procurando código malicioso, mas não encontrei nenhum.

Gostaria de receber ajuda para rastrear a origem das solicitações, para que eu possa determinar se elas são benignas ou indicativas de um problema maior. Obrigado.

    

Answer 1

Este é realmente um comportamento legítimo. Alguns ISPs respondem indevidamente a consultas DNS a domínios inexistentes com um registro A em uma página que eles controlam, geralmente com publicidade, como "você quis dizer?" tipo de coisa, em vez de passar NXDOMAIN como o RFC requer. Para combater isso, o Chrome faz várias solicitações HEAD para domínios que não podem existir para verificar como os servidores DNS as resolvem. Se eles retornarem registros A, o Chrome saberá executar uma consulta de pesquisa para o host em vez de obedecer ao registro DNS para que você não seja afetado pelo comportamento impróprio dos ISPs. [1]

    

Answer 2

Ao trabalhar com a Microsoft em relação a esse problema e como o IE9 se comporta, encontramos informações da Verizon sobre como desativar esse serviço. Eles chamam isso de "Assistência DNS". Ao trabalhar com outro usuário nesta questão que possui o ISP BrightHouse no FL, eles têm a mesma coisa acontecendo. Mas eles também fornecem informações sobre como sair desse serviço. Eu gosto de como eles chamam de serviço. :)