Сканирането на портове доведе до блокиране на подсет поради попадане в списъка UCEPROTECT

Винсент Кэнфилд (Vincent Canfield), администратор на пощенска услуга и хостинг реселър cock.li, откри, че цялата му IP мрежа автоматично е включена в списъка DNSBL UCEPROTECT за сканиране на портове от съседни виртуални машини. Подмрежата на Винсент попада в списък Level 3, където блокировките се извършват по номера на автономните системи и обхващат цели подмрежи, от които многократно и за различни адреси са сработвали детектори за спам. В резултат доставчикът M247 прекрати анонса на една от неговите мрежи в BGP, фактически спирайки обслужването.

Проблемът е, че подставните сървъри UCEPROTECT, които се представят за открити релей, регистрират опити за изпращане на поща през себе си и автоматично включват адреси в списъка за блокировка на базата на всяка мрежова активност, без проверка на установяването на мрежово свързване. Подобен метод за включване в списъка за блокировка също се прилага от проекта Spamhaus.

За да попаднете в списъка за блокиране, е достатъчно да изпратите един TCP SYN пакет, което може да бъде използвано от злонамерени лица. В частност, тъй като двустранно потвърждение на TCP връзката не е необходимо, може да се изпрати пакет със спуфинг, указващ фалшив IP адреси и да се инициира блокирането на всеки хост. При симулация на активност от няколко адреса може да се постигне ескалация на блокировката до нива Level 2 и Level 3, които блокират по подмрежи и номера на автономни системи.

Списъкът Level 3 първоначално е създаден за борба с доставчици, които насърчават злонамерена активност на клиентите и не реагират на оплаквания (например хостинги, специално създадени за разполагане на незаконно съдържание или обслужване на спамери). Преди няколко дни UCEPROTECT промени правилата за попадането в списъците Level 2 и Level 3, което доведе до по-агресивна филтрация и увеличаване на размера на списъците. Например, броят на записите в списъка Level 3 нарасна от 28 до 843 автономни системи.

Идеята за използване на спуфинг на IP адреси от списъка на спонсорите на UCEPROTECT при сканиране беше предложена като средство за противодействие на UCEPROTECT. В резултат на това UCEPROTECT включи адресите на своите спонсори и много други невинни в своите бази данни, което предизвика проблеми с доставката на имейли. Включително, CDN мрежата на компанията Sucuri също попада в списъка за блокиране.

Източник: opennet.ru