🥇 En bedragare fick 735 000 IPv4-adresser beslagtagna och återlämnade till registret

Regional internet registries and their service areas. The described fraud occurred in the ARIN zone.

In the early days of the Internet, IPv4 addresses were distributed to anyone who wanted them in large blocks. But today, companies are lining up at the regional registrar to obtain even a small address space. On the black market, one IP costs between $13 and $25, so registrars are battling numerous shadow brokers, whose business is simple: to acquire new blocks of IP addresses under false pretenses and then resell them to spammers. In May 2019, the regional registrar ARIN managed to reclaim IP addresses from a shadow broker, who faced criminal charges.

Approximately 735,000 IP addresses were returned to the registry. This is the first case where IP addresses have been reclaimed from fraudsters following a legal proceeding.

On May 14, the South Carolina Attorney's Office charged Amir Golestan with wire fraud, which he orchestrated through his company Micfo LLC and a network of shell companies. They were registered with IPv4 subnets and then resold to spammers..

I The criminal complaint lists 20 instances of fraud. In some cases, the price at which Golestan sold the addresses is indicated. For example, he sold one subnet of 65,536 addresses for $13 each, totaling $851,896. He had another contract for the sale of 327,680 addresses for $19 each, amounting to $6.22 million, but that last transaction was blocked.

Interestingly, Micfo initiated litigation itself at the end of last year, suing ARIN (the American Registry for Internet Numbers). Prior to this, the registrar had informed Golestan about the discovery of shell companies and threatened to revoke approximately 735,000 IP addresses if Micfo did not agree to provide more information about its operations and clients.

By that time, since Micfo had already sold part of the addresses to spammers, it refused to provide this information. As a result, the court dismissed the company's request..

However, under the agreement signed by Micfo with ARIN, any further disputes were to be settled through arbitration. On May 13, the arbitration panel ordered Micfo to pay $350,000 for ARIN's legal fees and return 735,000 IP addresses that the company had not yet sold.

Här är en lista över några av de falska företagen och påhittade personerna som Golestan skapade för att distribuera IPv4-subnät (från rättsdokument):

För dessa företag och påhittade personer skapades webbplatser, registrerades e-postadresser och så vidare. Åt deras vägnar skickades förfrågningar till ARIN om att få IPv4-subnät. I en sådan förfrågan måste företaget beskriva sin verksamhet, lista namn på anställda och annan information om firman. Golestan förfalskade alla dokument.

Genom detta system fick han cirka 757 760 adresser från ARIN, vars marknadsvärde åklagarmyndigheten uppskattade till mellan 9 850 880 och 14 397 440 dollar. Systemet har varit aktivt sedan 2014. Tabellen nedan listar framgångsrika förfrågningar till ARIN om tilldelning av IP-områden, och Golestan började sälja adresser från 2017.

Enligt pressmeddelande från ARIN, Micfo registrerade 11 falska företag över hela USA och skapade avsiktligt falska identiteter för de påhittade ledarna för dessa företag för att bedrägligt få IPv4-resurser från ARIN.

"Det var en komplex operation, — sade Stephen Ryan, tidigare federal åklagare som representerade ARIN i denna rättsprocess. — Alla elva falska företag för Micfo finns fortfarande på internet, där du ser alla dessa fantastiska människor som påstås arbeta där. Och vi fick notariserade intyg på dessa påhittade namn."

Oberoende experter säger att Micfo inte är den enda skuggmäklaren som bedrägligt har fått subnät från ARIN. Under många år har den amerikanska internetnummerregistratorn inte varit särskilt aktiv i kampen mot bedrägerier.

Det är möjligt att systemen med falska företag också fungerar i Ryssland, även om det inte har förekommit sådana massuttag av subnät från skuggmäklare ännu. För att kunna ansöka om en block /22 av IPv4-adresser hos den europeiska registratorn RIPE NCC måste man registrera sig som en lokal internetregistrator (LIR) och betala en medlemsavgift. LIR-status ges vanligtvis till internetleverantörer, telekommunikationsföretag, stora företag och akademiska institutioner. LIR får block av adresser från RIPE NCC och tilldelar IP-adresser till sina klienter.

I Ryssland finns det konsultföretag som hjälper kunder att registrera LIR till en låg kostnad runt 36 000 RUB (plus 15 000 RUB årlig support). Det är uppenbart att kostnaden för ett block av /22 IPv4-adresser är mycket högre, även enligt en minimal uppskattning av $12 per styck. Block av /22 säljs och hyrs ut.

Det är mycket möjligt att någon bedriver sådan verksamhet. Enligt statistik från åren 2012−2018, växte hastigheten på tilldelningen av IPv4-adresser i Europa i enlighet med en kvadratisk funktion. RIPE NCC förklarar detta med att allt fler lokala registrarer registrerades. Det rekordantal nya LIR registrerades i Storbritannien, Tyskland och Ryssland.

I november 2015 förbjöd RIPE registrering av ytterligare lokala registrarer av medlemmar i RIPE NCC, men detta hjälpte inte, så i maj 2016 hävdes begränsningen. Vid den tiden började organisationer registrera nya juridiska enheter för att få block av /22. En medlem av RIPE NCC sägs ha lyckats få 66 block av /22, även om det endast utfärdades ett av varje lokal registrator.

För ett år sedan meddelade RIPE om fördelningen av det sista blocket av /22 från det sista blocket av /8, men i RIPE NCC:s pool återstod 9 miljoner «återställda» adresser (det vill säga adresser som tagits tillbaka från tidigare ägare). Enligt beräkningar från Koordineringscentret kommer detta att räcka i ytterligare cirka två år, om lokala registratorer får ett /22 var.

Många organisationer har registrerat stora IPv4-intervall som knappt används och som de inte avser att avyttra (till exempel 16,8 miljoner adresser i blocket 44.0.0.0/8, registrerat påstått för amatörradio, eller 218 miljoner IP-adresser hos USA:s försvarsministerium: 11.0.0.0/8, 22.0.0.0/8, 26.0.0.0/8, 28.0.0.0/8, 29.0.0.0/8, 30.0.0.0/8 och 33.0.0.0/8.)

Andra block används mycket intensivt. Till exempel visualisering med Hilbert-kurvor visar tydligt hur adressutrymmet är fördelat bland cirka 4,2 miljarder (2³²) adresser.

Fördelning av IPv4-adressutrymmet, april 2018 (klickbar)