Vincent Canfield, administrátor emailového servisu a hostingového resellera cock.li, zistil, že celá jeho IP sieť bola automaticky zaradená do zoznamu DNSBL UCEPROTECT za skenovanie portov zo susedných virtuálnych strojov. Vincentova podsiete bola zaradená do Level 3, kde sa blokovanie vykonáva podľa čísel autonomných systémov a pokrýva celé podsiete, z ktorých sa opakovane a pre rôzne adresy aktivovali detektory spamu. V dôsledku toho poskytovateľ M247 odpojil oznam jednej z jeho sietí v BGP, čím fakticky pozastavil jej prevádzku.
Problém spočíva v tom, že falošné servery UCEPROTECT, ktoré sa tvária ako otvorené relaye a zaznamenávajú pokusy o odosielanie emailov prostredníctvom seba, automaticky zaradí adresy do zoznamu blokovania na základe akejkoľvek sieťovej aktivity, bez overovania nadviazania sieťového spojenia. Podobná metóda zaradenia do zoznamu blokovania sa tiež používa projektom Spamhaus.
Na zaradenie do zoznamu blokovania stačí odoslať jeden paket TCP SYN, čo môžu zneužívať útočníci. Konkrétne, keďže obojsmerné potvrdenie TCP spojenia nie je potrebné, je možné pomocou spoofingu odoslať paket s uvedením falošného IP adresy a iniciovať zaradenie do zoznamu blokovania akéhokoľvek hostiteľa. Pri simulácii aktivity z viacerých adries je možné dosiahnuť eskaláciu blokovania na úroveň Level 2 a Level 3, ktoré vykonávajú blokovanie podľa podsietí a čísel autonomných systémov.
Zoznam Level 3 bol pôvodne vytvorený na boj proti poskytovateľom, ktorí podporujú škodlivú aktivitu svojich klientov a nereagujú na sťažnosti (napríklad hostingy, ktoré boli špeciálne vytvorené na umiestňovanie nezákonného obsahu alebo obsluhu spammerov). Pred niekoľkými dňami UCEPROTECT zmenil pravidlá zaradenia do zoznamov Level 2 a Level 3, čo viedlo k agresívnejšiemu filtrovanie a zvýšeniu veľkosti zoznamov. Napríklad, počet záznamov v zozname Level 3 vzrástol z 28 na 843 autonomných systémov.
Na odpor voči UCEPROTECT bola navrhnutá myšlienka použitím spoofingu adries s uvedením IP z rozsahu sponzorov UCEPROTECT pri skenovaní. Výsledkom bolo, že UCEPROTECT zaradil adresy svojich sponzorov a mnohých ďalších nevinných do svojich databáz, čo spôsobilo problémy s doručovaním emailov. Do zoznamu blokovania sa dostala aj CDN sieť spoločnosti Sucuri.
Zdroj: opennet.ru
