Vincent Canfield, administrator for mailtjenesten og hosting-reselleren cock.li, opdagede, at hele hans IP-netværk automatisk blev tilføjet til DNSBL UCEPROTECT-listen på grund af portscanning fra nabovirtuelle maskiner. Vincents subnet kom på liste niveau 3, hvor blokeringen foretages ud fra autonome systemnumre og dækker hele subnet, som gentagne gange og for forskellige adresser har udløst spamdetekteringssystemer. Som et resultat afbrød udbyderen M247 annonceringen af et af hans netværk i BGP, hvilket egentlig stoppede servicen.
Problemet er, at det er falske servere UCEPROTECT, som udgiver sig for at være åbne relais og registrerer forsøg på at sende post igennem sig, tilføjer automatisk adresser til bloklisten baseret på enhver netværksaktivitet uden at tjekke for etablering af netværksforbindelse. En lignende metode til at blive sat på bloklisten anvendes også af Spamhaus-projektet.
Det er tilstrækkeligt at sende et enkelt TCP SYN-pakke for at havne på bloklisten, hvilket kan udnyttes af ondsindede aktører. Især fordi tovejskommunikation af TCP-forbindelsen ikke kræves, kan en pakke sendes med en falsk IP-adresser og initiere blokeringen af enhver vært. Ved at simulere aktivitet fra flere adresser kan man opnå, at blokeringen eskalerer til niveau 2 og niveau 3, som blokerer baseret på subnet og nummer af autonome systemer.
Niveau 3-listen blev oprindeligt oprettet for at bekæmpe udbydere, der tilskynder til skadelig aktivitet hos kunderne og ikke reagerer på klager (for eksempel hosting-tjenester, der er specifikt designet til at huse ulovligt indhold eller servicere spammere). For flere dage siden ændrede UCEPROTECT reglerne for at komme på niveau 2 og niveau 3 listerne, hvilket førte til en mere aggressiv filtrering og en stigning i størrelsen af listerne. For eksempel voksede antallet af poster på niveau 3-listen fra 28 til 843 autonome systemer.
For countering UCEPROTECT, the idea was suggested to use spoofed addresses with IPs from the UCEPROTECT sponsors' range during scanning. As a result, UCEPROTECT added the addresses of its sponsors and many other innocent parties to its databases, which caused email delivery issues. This included a CDN network from the company Sucuri being added to the blacklist.
Kilde: opennet.ru
