סריקת יציאות הובילה לחסימת רשת המשנה על ידי הספק עקב כלולה ברשימת UCEPROTECT

וינסנט קנפילד, מנהל מפיץ דואר אלקטרוני ואירוח cock.li, גילה שכל רשת ה-IP שלו נוספה אוטומטית לרשימת UCEPROTECT DNSBL לצורך סריקת יציאות ממכונות וירטואליות שכנות. רשת המשנה של וינסנט נכללה ברשימה רמה 3, שבה החסימה מתבצעת על ידי מספרי מערכת אוטונומיים ומכסה רשתות משנה שלמות שמהן הופעלו גלאי דואר זבל שוב ושוב ועבור כתובות שונות. כתוצאה מכך, ספק M247 השבית את הפרסום של אחת מהרשתות שלו ב-BGP, ולמעשה השעה את השירות.

הבעיה היא ששרתי UCEPROTECT מזויפים, שמתיימרים להיות ממסרים פתוחים ומתעדים ניסיונות לשלוח דואר דרך עצמם, כוללים אוטומטית כתובות ברשימת החסימות בהתבסס על כל פעילות ברשת, מבלי לבדוק את החיבור לרשת. שיטת חסימה דומה משמשת גם את פרויקט Spamhaus.

כדי להיכנס לרשימת החסימה, מספיק לשלוח חבילת TCP SYN אחת, אותה יכולים תוקפים לנצל. בפרט, מכיוון שלא נדרש אישור דו-כיווני של חיבור TCP, ניתן להשתמש בזיוף כדי לשלוח חבילה המציינת כתובת IP מזויפת וליזום כניסה לרשימת החסימות של כל מארח. כאשר מדמים פעילות ממספר כתובות, ניתן להסלים את החסימה לרמה 2 ורמה 3, המבצעות חסימה על ידי תת-רשת ומספרי מערכת אוטונומית.

הרשימה ברמה 3 נוצרה במקור כדי להילחם בספקים המעודדים פעילות זדונית של לקוחות ואינם מגיבים לתלונות (לדוגמה, אתרי אירוח שנוצרו במיוחד כדי לארח תוכן לא חוקי או לשרת שולחי דואר זבל). לפני מספר ימים, UCEPROTECT שינתה את כללי הכניסה לרשימות רמה 2 ורמה 3, מה שהוביל לסינון אגרסיבי יותר ולהגדלת גודל הרשימות. לדוגמה, מספר הכניסות ברשימת רמה 3 גדל מ-28 ל-843 מערכות אוטונומיות.

כדי להתמודד עם UCEPROTECT, הועלה הרעיון להשתמש בכתובות מזויפות במהלך סריקה המציינת כתובות IP ממגוון נותני החסות של UCEPROTECT. כתוצאה מכך, UCEPROTECT הכניסה את הכתובות של נותני החסות שלה ושל אנשים רבים אחרים תמימים למאגרי המידע שלה, מה שיצר בעיות במשלוח אימייל. גם רשת Sucuri CDN נכללה ברשימת החסימה.

מקור: OpenNet.ru