מחשבות, מחשבים, ושאר דברי בלע

English translation below.

דייגי זהות המציאו שיטה חדשה שמסתירה בצורה טובה מאוד ממשתמש לא טכנולוגי את המהות של מה שקורה.
בניגוד לדרך המקובלת, בה המשתמש מופנה לאתר של הפישרים, שנראה כמו האתר האמיתי (Paypal, Bank of america וכדומה) - בשיטה החדשה זה מה שקורה:

1. המשתמש מקבל אימייל שנראה כאילו הגיע ממקור אמיתי (במקרה שלי מחברה בשם Moneybookers, שדי דומה לPaypal), האימייל טוען שמסיבות אבטחה ההודעה בקובץ מצורף:

2. הקובץ המצורף הוא קובץ HTML רגיל לחלוטין, שלא מכיל שום דבר שיהיה קל לזהות בסריקה אוטומטית (היוריסטית), ונראה כמו דף רשמי של Moneybookers,
שמטרתו למנוע גניבת זהות, וכיבוס כספים. מטרות ראויות ללא ספק, מה שעוזר להוריד את ההגנות הפסיכולוגיות של המשתמש שרוצה לעזור.

הדף מקשר ללוגואים וקבצים מהאתר של Moneybookers, מה שמעלה את רמת האמינות הויזואלית שלו.

3. ברגע שהמשתמש ממלא את הפרטים ולוחץ על submit, הנתונים נשלחים לשרת של של הנוכלים, ששומר אותם ומחזיר HTTP 302, שמפנה לשרת של MoneyBookers:

יש כמה דברים שכדאי לשים אליהם לב (מודגשים).
* הכתובת של שרת היעד היא 0×9f.0xe2.0×3a.0×88. הדבר המוזר הזה הוא כתובת IP במסווה, מה שמקשה על המשתמשים לזהות מה קורה פה.
* התשובה היא HTTP 302, שמפנה לשרת המאובטח של MoneyBookers, מה שגורם למשתמש לחשוב שלשם הוא הגיע כשהוא לחץ על Submit.

זדוני.
הבעיה פה היא שאי אפשר למנוע מהמשתמשים להריץ קובץ HTML מקומי, ומכיוון שהמשתמשים לא ידעו שעבדו עליהם לא יהיו הרבה דיווחים על העניין, וגם אם יהיו רובם לא ישכילו להבין על מי להתלונן. ולכן כלים אוטומטים כמו זיהוי זיוף רשת של דפדפנים - שמתבסס על שרת מרכזי שאוסף תלונות מהרבה משתמשים - לא יעבדו כמו שצריך כי לא יהיו הרבה תלונות.

לפעמים המציאות עולה על כל דמיון.
חברת דיסקורדיה, שמקושרת למקבילה הצרפתית של RIAA (ארגון חברות ההקלטות האמריקאי) השתלטה בדרך לא ברורה על הדומיין של תוכנת שיתוף הקבצים שראזה והחלה להתחזות לצוות הפיתוח המקורי, תוך שהם משתמשים בלוגו של הפרוייקט ומציעים גרסא "מטופלת" של הקוד של הפרוייקט.
נראה שמדובר בהפרה בוטה של זכויות היוצרים של התוכנה, של הGPL ושל זכויות השימוש בלוגו של התוכנה.
משתמשים מעוצבנים הציעו בפורומים של האתר החדש לשנות את התוכנה כל שתתקוף את האתר המתחזה בבקשות HTTP (מתקפת DDOS - שלילת
שרות מבוזרת).

Make it so the real shareaza program queries their site [shareaza.com] every couple of seconds. As an individual user this won’t take much personal bandwidth. But all shareaza users worldwide put together should be enough to kill their server and they won’t really be able to do much since it will be coming from so many different IPs.

עורכי הדין של החברה הגיבו ואיימו משפטית על מנהלי הפורום וכל כל מי שיפתח מתקפת שלילת שרות כזו (אני מעריך את מאמץ הפיתוח הנדרש בכחמש דקות כולל בדיקות QA מקיפות).

This law firm represents Discordia, Ltd., the operator of the website Shareaza.com and owner of the rights in the Shareaza branded software distributed from that domain. Please be advised, that your forum contains a string of posts under the title: “suggestion to kill Shareaza.com.” Under the string, the poster, RedSquirrel offers directions for users of Shareaza software to implement a DoS that would have the effect of destroying or seriously impairing our client’s application and network. The poster OldDeath also offers a manner to illegally attack our client’s business.

Despite whatever complaints your forum’s users may have with our client’s proper and legal business activities, the type of activity promoted on your forum is illegal. Therefore, we request that you immediately remove this string of posts and any future strings of this nature. My client respects your users’ rights to express their points of view. However, the line is crossed when users begin to promote the destruction of a legitimate business (evidently based on out some misguided belief that artists and others who create music should not be fairly compensated for their efforts) via illegal or other predatory means.

If the above cited illegal activity on your site does not immediately cease and desist, our client will take all necessary action to vigorously and relentlessly protect its rights. To be clear, if this action is not immediately taken and, as result, our client’s business is harmed, we will not only pursue, locate and hold fully responsible each and every one of those who have implemented this, or any similar DoS, but also those responsible for maintaining your site and the forums.

Please confirm that the requested action is being taken immediately.

Jeffrey A. Kimmel

Meister Seelig & Fein, LLP
140 E. 45th St., 19th Fl.
New York, NY 10017
(212) 655-3578

מי שיכנס כרגע עם פיירפוקס לאתר החטוף יגלה שפיירפוקס מזהיר אותו מפני חשד לאתר מזויף.
זה תוצאה ישירה של מאמץ נוסף שמאורגן בפורום להתלונן על האתר המזוייף בגוגל, שבינתיים הצליח להכניס אותו לרשימת האתרים החשודים.

הסיפור המלא כאן.

012 סמייל קווי זהב (או איך שלא קוראים להם היום), שנולדו מהרכישה של 012 על ידי אינטרנט זהב נחשדים בזיוף של תעבורה אינטרנט שנועדה לגרום להחרמה של משתמשי TorrentLeech.
בעבר היו לי לא מעט בעיות מהירות עם אינטרנט זהב שהסתיימו כשהתנתקתי מהם.
כבר בעבר חשדתי שאינטרנט זהב משתמשת בטכניקות מסויימות כדי לפגוע בקצב ההעלאה של משתמשים, ואם הטענות של מנהלי TorrentLeech נכונות, אז 012 סמייל קווי זהב (או איך שלא קוראים להם היום) עברו את הגבול הדק שבין ניהול משאבים על גבול הלגיטימי לזיוף נתונים כדי להפיק רווחים, פעולה פלילית ללא ספק.
יש דמיון עקרוני רב בין המקרה של Comcast, שזייפו חבילות RST שנועדו לגרום לצד השני לחשוב שהצד המחובר סגר את החיבור לבין מה שסמייל קווי זהב (או איך שלא קוראים להם היום) נחשדים בו.
הייתי אומר שהפתרון של Comcast יותר מתוחכם טכנולוגית ויותר קשה לזיהוי ושהפתרון של 012 (או איך בלה בלה) יותר גס טכנולוגית אבל יותר נבזי בהרבה.
הסיבה היא שהפתרון של 012 (בלה) נועד לגרום לשרתי TorrentLeech לחשוד שהמשתמש מנסה לגרום לאתר לחשוב שהוא העלה כמויות נתונים גדולות ולא סבירות במטרה לגרום להחרמתו מהאתר.
זו מתקפה מאוד ספציפית על משתמשי TorrentLeech, ואם זה אכן קרה, אני מצפה שכל משתמשי TorrentLeech שמחוברים דרך 012 (בלה) יתנתקו ויעברו לספק שלא חוסם/מגביל/מרמה/משקר/עובר על החוק (עדיין?) כמו בזק-בין-לאומי.

הערה:
הטענה של TorrentLeech לא הוכחה עדיין.

הנה ההודעה המקורית של TorrentLeech:

UPNP היא טכנולוגיה שנועדה לפשט את התהליך של הוספת שרתים ונקודות קצה לרשת. אחד השימושים הפופולריים של UPNP הוא לאפשר קידום פורטים אוטומטי.
נניח שיש לכם רשת מקומית קטנה מאחורי NAT (תצורה מאוד נפוצה בימינו, כמעט כל מחשב שמחובר לאינטרנט דרך נתב מהווה בעצם רשת מקומית כזו), ותוכנת שיתוף באחד המחשבים רוצה לאפשר התחברות אליה מבחוץ.
לפני UPNP, התוכנה לא תוכל לעשות את זה בעצמה, ומנהל המערכת (או המשתמש התמים שקנה את הנתב) יצטרך להגדיר את הנתב "ולפתוח פורטים", או ליתר דיוק - לקדם פורטים מסויימים אל המכונה הספציפית.
היום רוב הנתבים תומכים בUPNP, מה שמאפשר לתוכנת השיתוף למצוא את הנתב, לגלות שהוא תומך בקידום פורטים, ולבקש ממנו בדרכי נועם לקדם למחשב עליו היא רצה חבילות מידע שמגיעות לפורטים מסויימים.
מאוד נוח, הכל פשוט עובד.
הבעיה היא שUPNP לא כולל אימות (כי אחרת המשתמש היה צריך להגדיר שם משתמש וסיסמא בנתב לצרכים האלו, ולתת לתוכנת השיתוף את שם המשתמש והסיסמא, דבר לא נוח בעליל!) ולמעשה מאפשר לכל תוכנה שרצה של מחשב בתוך הרשת לבקש קידום פורטים בלי בקרה מיוחדת ובצורה שקופה ונסתרת מהמשתמש.

הבעיה מתחילה כהמשתמש מריץ תוכנה בלי להבין אפילו שזה מה שהוא עושה.
למשל, אתם גולשים לתומכם באינטרנט, בטוחים שהתוכנה היחידה שאתם מפעילים היא הדפדפן, אתם נכנסים לדף כלשהו שמציג אנימציית פלאש.
הופ, הרצתם תוכנה חיצונית.
לא הפלאש, אלא האנימציה עצמה.
בצורה דומה הפעלה של ישומון ג'אווה היא בעצם הפעלה של תוכנה חיצונית בתוך הרשת שלהם. במקרה של ג'אווה המצב עוד יחסית בסדר כי רק ישומונים חתומים יכולים להתחבר לשרתים אחרים מזה שהם ירדו ממנו (ישומים חתומים הם נדירים למדי כי כדי לחתום יש לרכוש חתימה מסמכות שורש כמו Verisign או Thawte, מה שעולה כמה מאות דולרים לשנה ויאפשר זיהוי של מקור הקוד).
לעניין, פלאש מאפשר התחברות לנתב ובקשה לקידום פורטים, בנוסף UPNP מאפשר בנתבים מסויימים לשנות את שרת הDNS של הנתב, מה שיכול לאפשר תכמון של המשתמש ברמות בלתי נתפסות.

מכיוון שכל נתב שנרכש בשנים האחרונות מתהדר בתמיכה בUPNP שמופעלת בדרך כלל כברירת מחדל, הבעיה די חמורה.
מומחי אבטחה מנסים לשכנע אנשים מזה שנים שנתב NAT הוא לא Firewall, אבל רוב האנשים לא מבחינים בהבדל. מבחינתם אם הם מאחורי נתב הם בטוחים והנתב הוא זה שיספוג את ההתקפות.

אז זהו, שלא.
למעשה, ווקטור ההתקפה הזה מנצל את האמון שאנחנו רוכשים למחשבים בתוך הרשת.
למשל, שרותים מקומים רבים מאפשרים התחברות מהמחשב המקומי בלבד (ובודקים שההתחברות מגיעה מהמחשב המקומי). הפעלת פלאש תמימה (ונסתרת) יכולה לעקוף את ההגנה הזו בקלילות (ואם פלאש עדיין לא תומך בקישוריות UDP/TCP, הוא בטח יתמוך בגרסאות הבאות).

מומלץ לנטרל את התמיכה בUPNP בנתב שלכם.

ההתקפה הודגמה בGnuCitizen.

ספק האינטרנט השני בגודלו בארצות הברית - Comcast, חוסם בצורה פעילה תקשורת ביט-טורנט.
החסימה מתרחשת בטכניקה דומה לזו של חומת האש הסינית, כלומר - קומקאסט מזייפים חבילות מידע שמשמשת לניתוק חיבור TCP (עם דגל RST דלוק) מכל אחד מהצדדים, וגורמים לשני הצדדים לחשוב שהצד השני רוצה לסגור את הקשר.
הניתוק מתבצע ברגע שהם מזהים שאחד הצדדים מציע קובץ שלם להורדה (Seed), ואין ספק שהוא פוגע באיכות השירות של משתמשי הפרוטוקול בקומקאסט.
למותר לציין שהחסימה פוגעת גם במשתמשים שעושים שימושים לגיטימיים בפרוטוקול, כמו הפצה של תוכן חוקי (למשל מפיק שרוצה להפיץ את הסרט החדש שלו בביט-טורנט תוך שימוש בחיבור של קומקאסט) , הפצת לינוקס וכדומה.
אפשר להתגבר על החסימה באמצעות הצפנה של התקשורת (כל לקוח ביט-טורנט מודרני תומך בזה), מה שיקשה על קומקאסט לזהות שמדובר בתעבורת ביט-טורנט, אבל לא ימנע מהם לשלוח חבילות RST מכיוון שמעטפת הIP עדיין לא מוצפנת.

אפשר לראות איך נוצרת פה ברית טכנולוגית בין גורמים שמטרתם, כל אחד מסיבותיו, לשלוט בתעבורת המידע ברשת, ומנגד - איך הטכנולוגיה שמאפשרת למידע להשאר חופשי מתחזקת בעקבות כך.

מזה מספר חודשים אני רואה בפיירסטטס של firestats.cc זרימה הולכת וגוברת הפניות חיפוש ממנוע החיפוש של מיקרוסופט:

מסתבר שההפניות, שמכילות UserAgent מזוייף ודף מפנה מזוייף (עם מילות חיפוש שלא באמת מובילות אלי), יוצאות - תאמינו או לא - משרתי מייקרוסופט.
יש שני טווחי כתובות IP שמהן יוצאות הבקשות:

מסתבר שאני לא היחיד שזה הרגיז אותו. תגובת מייקרוסופט על פי הודעה בפורום שקישרתי אליו:

Second, we want to explain what this is all about. The traffic you are seeing is part of a quality check we run on selected pages. While we work on
addressing your conerns, we would request that you do not actively block the IP addreses used by this quality check; blocking these IP addresses could prevent your site from being included in the Live Search index.

אז מייקרוסופט מודים שזה הם (כאילו הם יכלו להסתתר באמת), וטוענים - תחזיקו - שהם עושים לדפים נבחרים בדיקת איכות!
ואו, הרבה תודה מייקרוסופט, עכשיו שבדקתם את איכות הדפים שלי (תודה תודה!), אתם מוכנים (תודה!) להפסיק לזבל לי את הסטטיסטיקות בצואה דיגיטלית?
(הממ, צואה דיגיטלית = דואה?)
מה שיפה זה שהם טוענים שאם תחסמו את כתובות הIP האלו, אתם עלולים לא להיות מאונדקסים על ידי הזחלנים של מנוע החיפוש של מייקרוסופט.
אכן טרגדיה, הרי אני מקבל כל כך הרבה הפניות משם שפשוט חבל לחסום אותו, כהוכחה - ראו את התמונה המצורפת למעלה, כמעט כל ההפניות מLive!

אגב, ניתן לזהות בקלות שאלו הפניות מאותה חווה גם על פי הדף המפנה, שמכיל תמיד את המילה LIVOP, למשל:

נראה שהתעלמות מטווח של כתובות IP יהיה אחד הפיצ'רים של הגרסא הבאה של פיירסטטס.

מייקרוספט, אני באמת מציע לכם לתפוס את הגאון שיזם את המהלך הזה ולקדם אותו, אסור לו לגעת במחשבים!

זוכרים שקיבלתי בוקר בהיר אחד 230 כרטיסי ברכה מאיזה ספאמר באתר של פיירסטטס?
זוכרים שהלשנתי עליו לICANN שפרטי הWho is שלו היו שגויים?
אני שכחתי, אז הנה תזכורת.
הפניה המקורית:

Errors in Technical Contact Information:
Address:INCORRECT
Description:
missing information

Explanation:
Site advertise in using spam bots, I received over 200 spam tickets in my trac system at http://firestats.cc (my site) that advertise this site last night.
Please delete the site.

היום בבוקר קיבלתי מICANN אימייל שמבקש שאני אבדוק אם הפרטים תוקנו (אני מניח שאין להם כוח אדם לבדוק בעצמם).
הנתונים אומרים שהתאר מושעה בגלל נתונים שגויים, והאתר מת, אז נראה שהספאמר לא טרח לתקן.
אני יודע שלספאמרים יש אתרים כמו בוטנים, וזה שלא ממש מזיז להם, אבל אני מרוצה כי הצלחתי בכמה דקות עבודה לסגור לחולרע את האתר.
רוצים גם?
תמצאו פרט חסר או שגוי בפרטי הWhois של האתר ודווחו עליו פה, וגלגלי הצדק האיטיים אך העיקשים יתחילו להסתובב.

זו לא הפעם הראשונה שהאינטרנט הופך לשדה קרב בין כוחות השחור לכוחות האור.
בתקופה האחרונה נראה שהתקפות בפרופיל גבוה הופכות להיות יותר ויותר נפוצות, מי זוכר היום את בלו-סקוריטי ז"ל שניסתה לפתח צפרדע כחולה ומבוזרת שתלחם בספאמרים?
לא תמיד המתקפות קוצרות כזו הצלחה, EveryDNS למשל עדיין מתפקדים היטב למרות ההתקפה האחרונה (למעשה אני משתמש בשרותים של EveryDNS, ואפילו תרמתי 15$).

הפעם הקורבנות הם מספר אתרים שנלחמים בסקאמרים, שהם האחים הגדולים של הספאמרים.
מכירים את האתרים שמתחזים לאתרים אחרים בנסיון לקצור סיסמאות של בנקים, Paypal Ebay וכו'?
אלו אתרים שמופעלים על ידי סקאמרים - Scammers או Scumbags כמו שהם מכונים בחוגים מסויימים.
סקאמרים אחרים לא מפחדים ללכלך את הידיים כדי לנסות להוציא כסף מהקורבנות, וממש לדבר איתם ולהשקיע בהם זמן ומאמץ - אלו כמובן הסקאמרים שמפעלים את העוקץ הניגרי, הידוע גם בשם תרמית ה419 (על שם מספר הקטע בחוק הניגרי שמתייחס לעברה).
הפעם האתרים שהותקפו הם אתרים שנלחמים ישירות בעוקצים הניגרים, כמו 419eaters, scamwarners וaa419.
האתרים לא זמינים כרגע עקב ההתקפה.

קל למי ששולט על רשת של עשרות או מאות אלפי בוטים להפיל שרת במתקפת שלילת שרות; כל מה שהוא צריך לעשות זה זה להורות לכל הבוטים לבקש דפים בו זמנית מאותו השרת.
התקפה כזו תספיק כדי להפיל כמעט כל שרת באינטרנט.
למעשה, היחידים שיכולים לעמוד במתקפה כזו הם חברות גדולות בעלות מודעות לאפשרות שלה, שגם השקיעו הרבה כדי להתגונן בפניה מראש.
חברות כאלו (גוגל, מייקרוסופט, יאהו, אמאזון וכו') יוכלו לעמוד במתקפה כי מערכת השרתים שלהם עצמה מבוזרת, ככה שעוצמת ההתקפה מתפזרת על פני כמות גדולה של שרתים, מה שהופך את ההתקפה להרבה פחות יעילה.

טיעונים בנוסח "זה סימן שאנחנו מכאיבים להם" ממש לא עושים עלי רושם, אנלוגיה דומה תהיה שהנמלים יצהלו כשיבוא המרסס כי "אנחנו מכאיבים להם".
למעשה, הרעים מנצחים פה. זה שאותם אתרים הכאיבו מספיק לסקאמרים כדי לפעול לא אומר שהם ממש פגעו להם בכיס (זה שמעכתם עכביש זה לא אומר שהוא הכניס אתכם למינוס בבנק).

אז מה עושים?
זו מלחמה, וכמו בכל מלחמה צריך לפעול בכמה חזיתות.
1. צריך גיבוי טכנולוגי וכלכלי לאתרים שנלחמים בטינופות, אולי על ידי מדינות ואולי על ידי חברות גדולות שרוצות לעשות משהו טוב כדי להצטייר טוב.
2. צריך להלחם ברשתות הבוטים, זו בעיה אמיתית וקשה שצריכה התייחסות של רשויות החוק בעולם. למרות השיפור הטכנולוגי המרשים בבוטים (היום הבוטים מתקשרים בערוצים מוצפנים, והם מתוכננים עם יתירות (Redeundancy) בערוצי השליטה שלהם - עדיין אפשר לגלות הרבה מאוד פשוט על ידי הדבקה של מחשב בבוט כזה וסקירה של פעילות הרשת שלו.
אני חושב שהגיע הזמן שהאיום הזה יתחיל לקבל התייחסות רצינית, הרי באותה קלות שמפעילי רשתות הבוטים יכולים להפיל אתר אחד, הם יכולים להפיל אתר אחר. מישהו רוצה להמר כמה עמיד יהיו האתרים של הבית הלבן, הפנטגון או האתר של ממשלת ישראל בפני התקפה כזו?
3. צריך לבזר את המנגנונים שנלחמים בסקאמרים ובספאמרים: מה שעובד בשביל הרעים יכול לעבוד גם בשביל הטובים. זה אומנם הרבה יותר קשה הנדסית, אבל בהחלט אפשרי בהרבה מקרים.

דרך סלאשדוט.

Someone please call 911…

ככה:

אזהרה: פוסט מתבכיין.
יום מחורבן למדי עבר על כוחותינו, הוא התחיל בזה שהיו לי 230 תגובות ספאם חדשות לטיקטים בפיירסטטס - מסתבר שהספאמרים מצאו דרך לרמות את הספאם פילטר של trac, והפציצו הרבה אתרי trac בזבל.
בין האתרים האחרים שנפגעו (ואלו הם רק אלו ששמעתי עליהם בערוץ הIRC של trac ברבע שעה שביליתי שם בבוקר) נמנים trac-hacks וpidgin. אני מחקתי את מאות התגובות פשוט על ידי שחזור של בסיס הנתונים מגיבוי מאתמול, אבל זה עיצבן אותי מספיק כדי שאני אכנס לאתר של הספאמר, אמצא ליקוי בפרטי הwhois שלו (אין כתובת), ואלשין עליו לICANN.
בתקווה הם יעיפו אותו מהרשת לתמיד.

אחרי יום די מתיש בעבודה, שכלל הדרכה על רשתות דור שלישי סלולריות (מעניין, אבל מדובר במצגת של 170 עמודים שהעבירו לנו - אז זה לא היה קל), זזתי הביתה, רק כדי להכנס לפקק ממש בתחילת איילון (ישר אחרי הירידה לאיילון דרום ממחלף גלילות החדש). הפקק המחורבן בעצם היה כל איילון, ולמרות שברחתי ממנו ברוקח (כדי לחתוך דרך רמת-גן במקביל לאיילון) כל הסיפור לקח לי שעה ועשרים דקות.
שעה ועשרים!
כבר הייתי עושה את זה בזחילה.