Vincent Canfield, administrador do serviço de e-mail e revenda de hospedagem cock.li, descobriu que toda a sua rede de IPs foi automaticamente adicionada à lista DNSBL UCEPROTECT por escaneamento de portas a partir de máquinas virtuais vizinhas. A sub-rede de Vincent foi listada no nível 3, onde o bloqueio é feito com base nos números de sistemas autônomos e abrange sub-redes inteiras, com os quais detectores de spam foram acionados repetidamente e para diferentes endereços. Como resultado, o provedor M247 desativou o anúncio de uma de suas redes no BGP, efetivamente suspendendo o serviço.
O problema é que os proxies servidores UCEPROTECT, que se fazem passar por relay abertos e registram tentativas de envio de e-mail, automaticamente incluem endereços na lista de bloqueio com base em qualquer atividade de rede, sem verificar a instalação da conexão de rede. Um método semelhante de inclusão na lista de bloqueio também é aplicado pelo projeto Spamhaus.
Para ser colocado na lista de bloqueio, basta enviar um pacote TCP SYN, o que pode ser explorado por atacantes. Em particular, como não é necessária uma confirmação bidirecional da conexão TCP, é possível enviar um pacote usando spoofing com um endereço falso endereços IP e iniciar a inclusão na lista de bloqueio de qualquer host. Ao simular atividade a partir de vários endereços, é possível escalar o bloqueio para os níveis 2 e 3, que realizam bloqueios por sub-redes e números de sistemas autônomos.
A lista de nível 3 foi originalmente criada para combater provedores que incentivam atividades maliciosas dos clientes e não respondem a reclamações (por exemplo, hospedagens criadas especificamente para abrigar conteúdo ilegal ou atender spammers). Há alguns dias, a UCEPROTECT alterou as regras de inclusão nas listas de níveis 2 e 3, o que levou a uma filtragem mais agressiva e ao aumento do tamanho das listas. Por exemplo, o número de registros na lista de nível 3 aumentou de 28 para 843 sistemas autônomos.
Para enfrentar a UCEPROTECT, foi sugerida a ideia de usar spoofing de endereços com IPs do intervalo dos patrocinadores da UCEPROTECT ao escanear. Como resultado, a UCEPROTECT incluiu os endereços de seus patrocinadores e muitos outros inocentes em suas bases, o que criou problemas de entrega de e-mail. Incluindo, a rede CDN da empresa Sucuri foi adicionada à lista de bloqueio.
Fonte: opennet.ru
