Vincent Canfield, beheerder van de e-mailservice en hosting reseller cock.li, ontdekte dat zijn gehele IP-netwerk automatisch op de DNSBL-lijst van UCEPROTECT werd geplaatst vanwege portscanning vanaf naburige virtuele machines. Vincents subnet werd op lijst Level 3 geplaatst, waar blokkering plaatsvindt op basis van autonome systeemnummers en hele subnetten die herhaaldelijk en voor verschillende adressen door spamdetectie-systemen zijn gedetecteerd. Als gevolg hiervan heeft provider M247 de aankondiging van een van zijn netwerken in BGP stopgezet, wat de dienstverlening in feite heeft stopgezet.
Het probleem is dat vervalste servers UCEPROTECT, die zich voordoen als open relais en proberen e-mails via hen te verzenden, automatisch adressen op de blokkadelijst plaatsen op basis van enige netwerkinactiviteit, zonder de installatie van een netwerkverbinding te controleren. Een vergelijkbare methode om op de blokkadelijst te worden geplaatst wordt ook toegepast door het project Spamhaus.
Voor opname op de blokkadelijst is het voldoende om één TCP SYN-pakket te verzenden, wat door kwaadwillenden kan worden misbruikt. Aangezien er geen wederzijdse bevestiging van de TCP-verbinding vereist is, kan iemand met spoofing een pakket verzenden met een vervalst IP-adressen en de opname op de blokkadelijst van elk host initiëren. Door activa van verschillende adressen te simuleren, kan men de blokkering opwaarderen naar Level 2 en Level 3, die blokkering op subnetten en autonome systeemnummers toepassen.
Lijst Level 3 is oorspronkelijk opgezet om strijd te voeren tegen providers die schadelijke activiteiten van klanten aanmoedigen en niet reageren op klachten (bijvoorbeeld hostingdiensten die speciaal zijn opgezet voor de hosting van illegale inhoud of het bedienen van spammers). Enkele dagen geleden heeft UCEPROTECT de regels voor opname op de lijsten van Level 2 en Level 3 gewijzigd, wat heeft geleid tot agressievere filtering en een stijging in het aantal records. Zo is het aantal vermeldingen op lijst Level 3 gestegen van 28 naar 843 autonome systemen.
Om tegen UCEPROTECT te vechten, is het idee geopperd om bij het scannen spoofing van adressen te gebruiken met IP's uit het bereik van de sponsors van UCEPROTECT. Uiteindelijk heeft UCEPROTECT de adressen van zijn sponsors en vele andere onschuldigen in zijn databases opgenomen, wat heeft geleid tot problemen met de e-mailbezorging. Ook is het CDN-netwerk van het bedrijf Sucuri op de blokkadelijst terechtgekomen.
Bron: opennet.ru
