Vincent Canfield, amministratore del servizio di posta elettronica e hosting reseller cock.li, ha scoperto che tutta la sua rete IP è stata automaticamente inserita nella lista DNSBL UCEPROTECT a causa della scansione delle porte proveniente da macchine virtuali vicine. La sottorete di Vincent è finita nella lista Level 3, in cui il blocco è effettuato sulla base dei numeri di sistemi autonomi e comprende intere sottoreti da cui sono stati attivati ripetutamente i rilevatori di spam per diversi indirizzi. Di conseguenza, il provider M247 ha disattivato l'annuncio di una delle sue reti in BGP, sospendendo di fatto il servizio.
Il problema è che le modalità fittizie servers UCEPROTECT, che si spacciano per relay aperti e registrano tentativi di invio di posta attraverso di esse, includono automaticamente gli indirizzi nella lista di blocco sulla base di qualsiasi attività di rete, senza verificare la condizione della connessione di rete. Un metodo simile di inserimento in lista di blocco viene utilizzato anche dal progetto Spamhaus.
Per finire nella lista di blocco è sufficiente inviare un pacchetto TCP SYN, che potrebbe essere sfruttato da malintenzionati. In particolare, poiché non è richiesta una conferma bidirezionale della connessione TCP, è possibile inviare un pacchetto tramite spoofing con un indirizzo falso Indirizzi IP e innescare l'inserimento nella lista di blocco di qualsiasi host. Simulando attività da diversi indirizzi, si può ottenere l'escalation del blocco ai livelli Level 2 e Level 3, che implementano il blocco sulla base delle sottoreti e dei numeri dei sistemi autonomi.
La lista Level 3 è stata originariamente creata per combattere i provider che incoraggiano attività dannose dei clienti e non rispondono alle segnalazioni (ad esempio, hosting creati appositamente per ospitare contenuti illegali o per servire spammer). Alcuni giorni fa UCEPROTECT ha modificato le regole di inserimento nelle liste Level 2 e Level 3, portando a una filtrazione più aggressiva e a un aumento delle dimensioni delle liste. Ad esempio, il numero di voci nella lista Level 3 è aumentato da 28 a 843 sistemi autonomi.
Per contrastare UCEPROTECT è stata proposta l'idea di utilizzare lo spoofing degli indirizzi con IP dall'intervallo dei sostenitori di UCEPROTECT durante la scansione. Di conseguenza, UCEPROTECT ha incluso gli indirizzi dei propri sponsor e molti altri innocenti nelle proprie basi, creando problemi nella consegna delle email. Anche la rete CDN della compagnia Sucuri è finita nella lista di blocco.
Fonte: opennet.ru
