Das Scannen von Ports führte zur Sperrung des Subnetzes durch den Anbieter, da es auf die UCEPROTECT-Liste gesetzt wurde.

Vincent Canfield, Administrator des E-Mail-Dienstes und Hosting-Resellers cock.li, stellte fest, dass sein gesamtes IP-Netzwerk automatisch auf die DNSBL UCEPROTECT wegen Port-Scans von benachbarten virtuellen Maschinen gesetzt wurde. Vincents Subnetz wurde auf die Stufe 3 gesetzt, wo die Sperrung anhand von autonomen Systemnummern erfolgt und ganze Subnetze umfasst, von denen mehrfach und für verschiedene Adressen Spam-Detektoren ausgelöst wurden. Infolgedessen stellte der Anbieter M247 die Ankündigung eines seiner Netze im BGP ein und stellte die Dienstleistungen praktisch ein.

Das Problem besteht darin, dass die Server UCEPROTECT, die sich als offene Relay-Server ausgeben und Versuche zur E-Mail-Zustellung über sich selbst erfassen, automatisch Adressen auf der Grundlage jeglicher Netzwerkaktivität auf die Sperrliste setzen, ohne die Verbindung zu überprüfen. Eine ähnliche Methode der Sperrung wird auch von dem Projekt Spamhaus angewendet.

Um auf die Sperrliste zu gelangen, reicht es aus, ein einziges TCP SYN-Paket zu senden, was von Angreifern ausgenutzt werden kann. Insbesondere da keine bidirektionale Bestätigung der TCP-Verbindung erforderlich ist, kann man mit Spoofing ein Paket mit einer gefälschten IP-Adressen Adresse senden und die Sperrung eines beliebigen Hosts initiieren. Durch die Simulation von Aktivitäten von mehreren Adressen kann eine Eskalation der Sperrung auf die Stufen 2 und 3 erreicht werden, die die Sperrung nach Subnetzen und autonomen Systemnummern vornehmen.

Die Stufe 3 wurde ursprünglich zur Bekämpfung von Anbietern geschaffen, die schädliches Verhalten ihrer Kunden dulden und nicht auf Beschwerden reagieren (zum Beispiel Hosting-Dienste, die speziell für die Bereitstellung illegaler Inhalte oder die Bedienung von Spammern geschaffen wurden). Vor einigen Tagen änderte UCEPROTECT die Regeln für die Aufnahme in die Stufen 2 und 3, was zu aggressiveren Filtermethoden und einer Vergrößerung der Listen führte. So stieg die Anzahl der Einträge in der Stufe 3 von 28 auf 843 autonome Systeme.

Um sich UCEPROTECT zu widersetzen, wurde die Idee geäußert, beim Scannen Spoofing-Adressen aus dem IP-Bereich der UCEPROTECT-Sponsoren zu verwenden. Letztendlich fügte UCEPROTECT die Adressen seiner Sponsoren und vieler anderer Unschuldiger in seine Datenbanken ein, was Probleme mit der E-Mail-Zustellung verursachte. Darunter fiel auch das CDN-Netzwerk des Unternehmens Sucuri.

Quelle: opennet.ru