포트 스캐닝으로 인해 UCEPROTECT 목록에 포함되어 있어 공급자가 서브넷을 차단했습니다.

이메일 및 호스팅 리셀러 Cock.li의 관리자인 Vincent Canfield는 자신의 전체 IP 네트워크가 인접 가상 머신의 포트 검색을 위해 UCEPROTECT DNSBL 목록에 자동으로 추가된다는 사실을 발견했습니다. Vincent의 서브넷은 레벨 3 목록에 포함되었습니다. 이 목록에서는 자율 시스템 번호로 차단이 수행되고 스팸 탐지기가 반복적으로 실행된 전체 서브넷과 다른 주소를 포괄합니다. 결과적으로 M247 공급자는 BGP에서 네트워크 중 하나의 광고를 비활성화하여 서비스를 효과적으로 중단했습니다.

문제는 공개 릴레이인 것처럼 가장하고 스스로 메일 전송 시도를 기록하는 가짜 UCEPROTECT 서버가 네트워크 연결 설정을 확인하지 않고 네트워크 활동을 기반으로 차단 목록에 주소를 자동으로 포함한다는 것입니다. Spamhaus 프로젝트에서도 유사한 차단 목록 작성 방법이 사용됩니다.

차단 목록에 들어가려면 하나의 TCP SYN 패킷을 보내는 것으로 충분하며, 이는 공격자가 악용할 수 있습니다. 특히 TCP 연결에 대한 양방향 확인이 필요하지 않기 때문에 스푸핑을 사용하여 가짜 IP 주소를 나타내는 패킷을 보내고 모든 호스트의 차단 목록에 진입하는 것이 가능합니다. 여러 주소의 활동을 시뮬레이션할 때 하위 네트워크 및 자율 시스템 번호를 기준으로 차단을 수행하는 레벨 2 및 레벨 3으로 차단을 확대할 수 있습니다.

레벨 3 목록은 원래 악의적인 고객 활동을 조장하고 불만 사항에 응답하지 않는 공급자(예: 불법 콘텐츠를 호스팅하거나 스패머에게 서비스를 제공하기 위해 특별히 만들어진 호스팅 사이트)를 퇴치하기 위해 만들어졌습니다. 며칠 전 UCEPROTECT는 레벨 2 및 레벨 3 목록에 들어가기 위한 규칙을 변경하여 보다 공격적인 필터링과 목록 크기의 증가를 가져왔습니다. 예를 들어 레벨 3 목록의 항목 수가 28개에서 843개 자율 시스템으로 늘어났습니다.

UCEPROTECT에 대응하기 위해 스캐닝 중에 UCEPROTECT 스폰서 범위의 IP를 나타내는 스푸핑된 주소를 사용하는 아이디어가 제시되었습니다. 결과적으로 UCEPROTECT는 스폰서 및 기타 많은 무고한 사람들의 주소를 데이터베이스에 입력했으며 이로 인해 이메일 전달에 문제가 발생했습니다. Sucuri CDN 네트워크도 차단 목록에 포함되었습니다.

출처 : opennet.ru