Imprimer

[alex]

Salut tous,

Une décision difficile est prise ce soir. Un Botnet (un réseau de PC infectés) ayant pour origine le fournisseur d'accès Kyivstar, principal fournisseur d'Ukraine, il est décidé d'interdire ce FAI le temps que la menace s'efface.

Un site ayant récemment ouvert ses portes, vraisemblablement en Ukraine, semble avoir des méthodes absolument dégueulasses pour se faire connaitre. Afin de sévir en toute impunité et étant certainement auto-hébergé, ce site se cache derrière les services de no-ip.com.
Parmi ces méthodes, l'infection de personnes peu ou pas assez protégées, et l'utilisation à distance du matériel de ces personnes, figure en bonne place. Pour info, ce réseau de machines infectées utilisées à distance est ce qu'on appelle un Botnet.

Ce Botnet se fait particulièrement virulent ce soir, nuit de réveillon, où beaucoup de webmasters ne seront pas devant leur écran.
Aujourd'hui, chez oim a vu plus de 200 tentatives d'inscriptions dont 3 réussies.
Cette campagne de SPAM très agressive ayant pour origine principale le fournisseur d'accès Kyivstar, il est donc décidé de blacklister ce FAI/ISP.

Le temps que des mesures nationales ou internationales soient prises contre ce site commercial d'écrivains en ligne au méthodes publicitaires suicidaires (à moins qu'il ne s'agisse d'une campagne de dénigrement de ce site), que les Ukrainiens désinfectent leur matériel, l'Ukraine est donc provisoirement blacklistée dans sa majorité, vu que ce FAI est très répandu dans ce pays.
L'avenir nous indiquera quand procéder à la levée de ce blacklistage.

En voilà qui vont bien commencer l'année s'en même s'en douter, vu que les personnes sont très rarement informées que leur matériel est détourné frauduleusement pour être utilisé à distance par un ou plusieurs enfoirés...

[maximus23]

Bonjour,

Moi j'ai court-circuité ces blocs IP :

deny from 46.118.0.0/16
deny from 46.117.0.0/16

[alex]

Bah oui, c'est le même fournisseur, Kyivstar.
Ils est agressif en ce moment avec son SPAM pour son site d'écrivains ! Cette nuit, j'ai eu 1500 tentatives d'inscription/login; heureusement qu'il était bloqué !

Le plus simple, c'est de bloquer le nom d'hôte *.broadband.kyivstar.net ou *.kyivstar.net. Ca ratisse beaucoup plus large.

[maximus23]

Il faudrait une base de données à jour et en temps réel et là pas facile à trouver des choses correctes.

[alex]

Pour les inscriptions sauvages sur des sites à partir d'un botnet, il n'existe pas grand chose...

Il y aurait bien des HoneyPots appartenant à Spamhaus, mais même si c'est en temps réel, il y a quand même un petit délai.
Et rien ne dit que le Botnet ne sera pas passé sur ton site avant de se faire piéger par le Honeypot.

Sinon, il y a la base de données de Stop Forum Spam qui est assez efficace. Je l'utilisais pour les inscriptions avant d'utiliser reCAPTCHA.
Je crois même qu'il existe un mod pour cette base.

[alex]

Ce qui était une mesure provisoire s'inscrit dans la durée.

L'Ukraine et son fournisseur d'accès phare, Kyivstar, persiste dans les abus de toutes sortes. Les mesures concernant ce FAI se durcissent donc et s'inscrivent dans un processus de blocage systématique qui risque bien de devenir définitif...

Dorénavant, le blacklistage de ce FAI prend la forme de DROP(s) iptables.
Pour ceux qui ne connaissent pas, un DROP iptables consiste à demander au serveur d'ignorer toutes les requêtes d'une adresse IP.
Quoi que fasse cette adresse IP, accès au site, tentative de connexion au serveur mail, le serveur ignorera toutes les demandes et ne répondra pas. L'IP ne recevra aucune réponse et verra le serveur comme si il n'existait plus...

Pour ceux que ça intéresse, voici les préfixes IP ukrainiens de ce FAI, Kyivstar :

Code

5.248.0.0/16
37.115.0.0/16
37.229.0.0/16
46.118.0.0/15
46.185.0.0/17
46.211.0.0/16
81.23.16.0/20
94.153.0.0/16
107.172.0.0/14
109.162.0.0/17
134.249.0.0/16
176.8.0.0/16
178.137.0.0/16
188.163.0.0/17
193.41.60.0/22

[maximus23]

Bonsoir,

Voici ceux qui sont excommuniés pour moi de ces derniers temps

Code

deny from 178.137.0.0/16
deny from 46.118.0.0/16
deny from 46.117.0.0/16
deny from 46.161.9.
deny from 5.9.145.132
deny from 79.165.239.242
deny from 81.161.59.17
deny from 54.36.148.162
deny from 46.229.160.0/20
deny from 91.134.248.253
deny from 195.201.23.9
deny from 94.73.147.170

[alex]

Ici ça fait un moment qu'ils sont tricards.

Dès que le serveur voit une de ces IP, hop !