Сканирането на порт доведе до блокиране на подмрежата от доставчика поради включването й в списъка UCEPROTECT

Винсент Кенфийлд, администратор на имейл и хостинг дистрибутор cock.li, откри, че цялата му IP мрежа е автоматично добавена към UCEPROTECT DNSBL списъка за сканиране на портове от съседни виртуални машини. Подмрежата на Винсент беше включена в списъка от ниво 3, в който блокирането се извършва от автономни системни номера и обхваща цели подмрежи, от които спам детекторите се задействаха многократно и за различни адреси. В резултат на това доставчикът на M247 забрани рекламирането на една от своите мрежи в BGP, като на практика спря услугата.

Проблемът е, че фалшивите UCEPROTECT сървъри, които се представят за отворени релета и записват опити за изпращане на поща през себе си, автоматично включват адреси в списъка за блокиране въз основа на всяка мрежова активност, без да проверяват установяването на мрежова връзка. Подобен метод за блокиране се използва и от проекта Spamhaus.

За да влезете в списъка за блокиране, е достатъчно да изпратите един TCP SYN пакет, който може да бъде експлоатиран от нападателите. По-специално, тъй като не се изисква двупосочно потвърждение на TCP връзка, е възможно да се използва подправяне, за да се изпрати пакет, указващ фалшив IP адрес, и да се инициира влизане в списъка с блокове на всеки хост. При симулиране на активност от няколко адреса е възможно блокирането да ескалира до Ниво 2 и Ниво 3, които извършват блокиране по номера на подмрежа и автономна система.

Списъкът от ниво 3 първоначално е създаден за борба с доставчици, които насърчават злонамерена клиентска дейност и не отговарят на оплаквания (например хостване на сайтове, специално създадени за хостване на незаконно съдържание или обслужване на спамъри). Преди няколко дни UCEPROTECT промени правилата за влизане в списъците от ниво 2 и ниво 3, което доведе до по-агресивно филтриране и увеличаване на размера на списъците. Например, броят на записите в списъка от ниво 3 нарасна от 28 на 843 автономни системи.

За да се противодейства на UCEPROTECT, беше предложена идеята да се използват фалшиви адреси по време на сканиране, показващи IP адреси от обхвата на спонсорите на UCEPROTECT. В резултат на това UCEPROTECT въведе адресите на своите спонсори и много други невинни хора в своите бази данни, което създаде проблеми с доставката на имейл. Мрежата Sucuri CDN също беше включена в списъка за блокиране.

Източник: opennet.ru