Vincent Canfield, správce poštovní služby a hostingu reseller cock.li, zjistil, že celá jeho IP síť byla automaticky zařazena na seznam DNSBL UCEPROTECT za skenování portů z okolních virtuálních strojů. Vincentova podsíť byla zařazena na úroveň Level 3, kde se blokování provádí podle čísel autonomních systémů a zahrnuje celé podsítě, ze kterých se mnohokrát a pro různé adresy aktivovaly detektory spamu. V důsledku toho poskytovatel M247 vypnul oznámení jedné z jeho sítí v BGP, čímž fakticky pozastavil služby.
Problém spočívá v tom, že fiktivní servery UCEPROTECT, které se vydávají za otevřené relay servery a zaznamenávají pokusy o odesílání pošty přes sebe, automaticky zařazují adresy na blokovací seznam na základě jakékoli síťové aktivity, bez ověření navázání síťového spojení. Podobná metoda zařazení na blokovací seznam je také používána projektem Spamhaus.
K zařazení na blokovací seznam stačí odeslat jeden TCP SYN paket, což mohou zneužít útočníci. Konkrétně, protože oboustranné potvrzení TCP spojení není vyžadováno, je možné pomocí spoofingu odeslat paket s uvedením falešného IP adres a iniciovat zařazení na blokovací seznam jakéhokoli hostitele. Při simulaci aktivity z několika adres lze dosáhnout eskalace blokování na úroveň Level 2 a Level 3, které provádějí blokaci podle podsítí a čísel autonomních systémů.
Seznam Level 3 byl původně vytvořen za účelem boje proti poskytovatelům, kteří podporují škodlivou aktivitu svých zákazníků a nereagují na stížnosti (například hostingy, které jsou speciálně vytvářeny pro umístění nelegálního obsahu nebo obsluhu spammerů). Před několika dny UCEPROTECT změnil pravidla pro zařazení na seznamy Level 2 a Level 3, což vedlo k agresivnější filtraci a nárůstu velikosti seznamů. Například počet záznamů v seznamu Level 3 vzrostl z 28 na 843 autonomních systémů.
Proti UCEPROTECT byla vyjádřena myšlenka použití spoofingu adres při skenování s uvedením IP z rozsahu sponzorů UCEPROTECT. Nakonec UCEPROTECT zařadil adresy svých sponzorů a mnoha dalších nevinných do svých databází, což způsobilo problémy s doručováním e-mailů. Včetně toho byla na blokovací seznam zařazena CDN síť společnosti Sucuri.
Zdroj: opennet.ru
