Винсент Кэнфилд (Vincent Canfield), администратор на пощенския сервис и хостинг реселлер cock.li, откри, че цялата му IP мрежа е автоматично включена в списъка на DNSBL UCEPROTECT за сканиране на портове от съседни виртуални машини. Подмрежата на Винсент е попаднала в списъка Level 3, където блокирането се извършва по номера на автономните системи и обхваща цяли подмрежи, от които многократно и за различни адреси са сработили детекторите за направа на спам. В резултат на това доставчикът M247 е спрял анонса на една от неговите мрежи в BGP, фактически спирайки обслужването.
Проблемът е, че подставните сървъри UCEPROTECT, които се представят за отворени релейки и фиксират опити за изпращане на поща през тях, автоматично включват адресите в списъка за блокиране на базата на всяка мрежова активност, без проверка на установяването на мрежовото свързване. Подобен метод за поставяне в списъка за блокиране също се прилага от проекта Spamhaus.
За да попада в списъка за блокиране, е достатъчно да бъде изпратен един пакет TCP SYN, от което могат да се възползват злонамерени лица. По-специално, тъй като двустранното потвърждение на TCP съединението не се изисква, е възможно чрез спуфинг да се изпрати пакет с подправен IP адреси и да се иницира попадане в списъка за блокиране на всякакъв хост. Чрез симулиране на активност от няколко адреса може да се постигне ескалация на блокирането до нива Level 2 и Level 3, които извършват блокиране по подмрежи и номера на автономни системи.
Списъкът Level 3 първоначално е създаден, за да се бори с доставчиците, които насърчават злонамерена активност на клиентите и не реагират на оплаквания (например, хостинги, създадени специално за разполагане на незаконно съдържание или за обслужване на спамере). Няколко дни назад UCEPROTECT промени правилата за включване в списъците Level 2 и Level 3, което доведе до по-агресивна филтрация и увеличение на размерите на списъците. Например, броят на записите в списъка Level 3 нарасна от 28 до 843 автономни системи.
За да се противопостави на UCEPROTECT, беше предложена идеята за използване на спуфинг на адреси с указание на IP от диапазона на спонсорите на UCEPROTECT при сканирането. В крайна сметка UCEPROTECT внесе адресите на своите спонсори и мнозина други невинни в своите бази, което създаде проблеми с доставката на имейли. Включително в списъка за блокиране попадна CDN мрежата на компанията Sucuri.
Източник: opennet.ru
