Проект Spamhaus: Борьба со спамом и киберпреступностью

Введение

Организация, преследующая рассыльщиков спама

Проект Spamhaus — международная организация, базирующаяся в Княжестве Андорра, основанная в 1998 году Стивом Линфордом для отслеживания рассыльщиков спама и деятельности, связанной со спамом. Название "spamhaus", псевдогерманское выражение, было придумано Линфордом для обозначения интернет-провайдера или другой компании, занимающейся спамом или сознательно предоставляющей услуги спамерам.

Списки антиспама

Проект Spamhaus отвечает за составление нескольких широко используемых списков антиспама. Многие интернет-провайдеры и почтовые серверы используют эти списки для уменьшения количества спама, достигающего их пользователей. В 2006 году сервисы Spamhaus защитили 650 миллионов пользователей электронной почты, включая Европейский парламент, армию США, Белый дом и Microsoft, от миллиардов спам-сообщений в день. Коммерческие службы фильтрации спама и другие сайты, выполняющие большое количество запросов, должны вместо этого подписаться на поток данных на основе rsync этих DNSBL, который называется "Datafeed Service" (Служба передачи данных). Spamhaus описывает принцип работы своей технологии DNSBL в документе под названием "Understanding DNSBL Filtering" (Понимание фильтрации DNSBL). Spamhaus Block List (Список блокировки Spamhaus) ориентирован на "подтвержденные источники спама (включая спамеров, спам-группировки и службы поддержки спама)". Его цель – перечислить IP-адреса, принадлежащие известным спамерам, спам-операциям и службам поддержки спама. Списки SBL частично основаны на индексе ROKSO известных спамеров. Exploits Block List (Список блокировки эксплойтов) ориентирован на "незаконные эксплойты третьих лиц, включая открытые прокси-серверы, червей/вирусы со встроенными спам-движками, ПК и серверы, зараженные вирусами, и другие типы троянских программ". Иными словами, это список известных открытых прокси-серверов и скомпрометированных компьютеров, используемых для рассылки спама и вирусов. XBL включает информацию, собранную Spamhaus, а также другими операторами DNSBL, такими как Composite Blocking List (CBL) (Составной список блокировки). Policy Block List (Список блокировки по политике) похож на список пользователей Dialup. Он содержит не только динамические IP-адреса, но и статические адреса, которым не следует отправлять электронную почту напрямую на серверы третьих сторон. Примерами таких адресов являются магистральные маршрутизаторы интернет-провайдеров, корпоративные пользователи, которым по политике требуется отправлять электронную почту через корпоративные серверы, и нераспределенные IP-адреса. Большая часть данных предоставляется Spamhaus организациями, контролирующими IP-адресное пространство, как правило, интернет-провайдерами. Domain Block List (Список блокировки доменов) был выпущен в марте 2010 года и представляет собой список доменных имен, который является одновременно списком блокировки доменных URI и RHSBL. В нем перечислены спам-домены, включая URL-адреса с вредоносным кодом, источники и отправители спама ("правая сторона"), известные спамеры и спам-группировки, а также сайты, связанные с фишингом, вирусами и вредоносным ПО. Позже была добавлена зона "злоупотребляемых сокращателей URL", распространенный способ вставки ссылок в спам-сообщения. Botnet Controller List (Список контроллеров ботнета) был выпущен в июне 2012 года и представляет собой список IP-адресов. В нем перечислены IP-адреса, которые, по мнению сотрудников Spamhaus, используются киберпреступниками исключительно для размещения инфраструктуры командного управления ботнетом. Эта инфраструктура обычно используется киберпреступниками для управления компьютерами, зараженными вредоносным ПО. Composite SnowShoe List (Композитный список SnowShoe) – это автоматически создаваемый набор данных IP-адресов, участвующих в рассылке электронной почты с низкой репутацией. Списки могут быть основаны на приветствиях HELO без записи A, общих DNS-именах или использовании поддельных доменов, что может указывать на спам-ботов или неправильную конфигурацию сервера. CSS является частью SBL. Spamhaus whitelist (Белый список Spamhaus) был выпущен в октябре 2010 года и представляет собой белый список адресов IPv4 и IPv6. Этот список предназначен для того, чтобы почтовые серверы могли разделять входящий трафик электронной почты на 3 категории: хороший, плохой и неизвестный. Только проверенные легитимные отправители с чистой репутацией были одобрены для включения в белый список, и существовали строгие условия для поддержания учетной записи Spamhaus Whitelist. Существует белый список доменов, а второй называется "zen" и стилизован заглавными буквами, который объединяет все списки Spamhaus, основанные на IP-адресах.

The Spamhaus Project is responsible for compiling several widely used anti spam lists. Many internet service providers and email servers use the lists to reduce the amount of spam that reaches their users. In 2006, the Spamhaus services protected 650 million email users, including the European Parliament, US Army, the White House and Microsoft, from billions of spam emails a day. Commercial spam filtering services and other sites doing large numbers of queries must instead sign up for an rsync based feed of these DNSBLs, which is called the "Datafeed Service." Spamhaus outlines the way its DNSBL technology works in a document called "Understanding DNSBL Filtering." The Spamhaus Block List targets "verified spam sources (including spammers, spam gangs and spam support services)." Its goal is to list IP addresses belonging to known spammers, spam operations, and spam support services. The SBL's listings are partially based on the ROKSO index of known spammers. The Exploits Block List targets "illegal 3rd party exploits, including open proxies, worms/viruses with built in spam engines, virus infected PCs & servers and other types of trojan horse exploits." That is to say it is a list of known open proxies and exploited computers being used to send spam and viruses. The XBL includes information gathered by Spamhaus as well as by other contributing DNSBL operations such as the Composite Blocking List (CBL). The Policy Block List is similar to a Dialup Users List. It lists not only dynamic IP addresses but also static addresses that should not be sending email directly to third party servers. Examples of such are an ISP's core routers, corporate users required by policy to send their email via company servers, and unassigned IP addresses. Much of the data is provided to Spamhaus by the organizations that control the IP address space, typically ISPs. The Domain Block List was released in March 2010 and is a list of domain names, which is both a domain URI blocklist and RHSBL. It lists spam domains including spam payload URLs, spam sources and senders ("right hand side"), known spammers and spam gangs, and phish, virus and malware related sites. It later added a zone of "abused URL shorteners", a common way spammers insert links into spam emails. The Botnet Controller List was released in June 2012 and is a list of IP addresses. It lists IP addresses of which Spamhaus personnel believe to be operated by cybercriminals for the exclusive purpose of hosting botnet Command&Control infrastructure. Such infrastructure is commonly used by cybercriminals to control malware infected computers. The Composite SnowShoe List is an automatically produced dataset of IP addresses that are involved in sending low reputation email. Listings can be based on HELO greetings without an A record, generic looking rDNS or use of fake domains, which could indicate spambots or server misconfiguration. CSS is part of SBL. The Spamhaus white list was released in October 2010 and was a whitelist of IPv4 and IPv6 addresses. This list was intended to allow mail servers to separate incoming email traffic into 3 categories: good, bad, and unknown. Only verified legitimate senders with clean reputations were approved for whitelisting and there were strict terms to keeping a Spamhaus Whitelist account. The domain white list and the second is called "zen" and stylized in all caps, which combines all the Spamhaus IP address based lists.

Реестр известных спам-операций

Реестр Spamhaus известных спам-операций — это база данных спамеров и спам-операций, которые были отключены от обслуживания тремя или более интернет-провайдерами из-за рассылки спама. Он содержит общедоступную информацию об этих лицах, а также об их доменах, адресах и псевдонимах. Эта база данных позволяет интернет-провайдерам проверять новых клиентов, затрудняя получение хостинга для заблокированных спамеров. Для правоохранительных органов существует специальная версия, содержащая данные о сотнях спам-группировок, включая доказательства, журналы и информацию об их незаконной деятельности, которая считается слишком конфиденциальной для публикации в общедоступной части ROKSO.

Не маршрутизировать или список сверстников

Список Spamhaus DROP ("не маршрутизировать и не подключаться") — это текстовый файл, содержащий информацию о блоках CIDR, которые были похищены или иным образом находятся под "полным контролем спамеров или используются исключительно для размещения спама". Являясь небольшой частью SBL, он не включает диапазоны адресов, зарегистрированные у интернет-провайдеров и сдаваемые в субаренду спамерам, а только те сетевые блоки, которые полностью используются спамерами. Он предназначен для интеграции в межсетевые экраны и маршрутизаторы с целью блокировки всего сетевого трафика, направленного в указанные блоки и из них. Spamhaus заявляет, что данные доступны для бесплатной загрузки и использования. В 2012 году Spamhaus предложил BGP-канал для получения этих же данных.

Компании

Группа Spamhaus состоит из ряда независимых компаний, специализирующихся на различных аспектах антиспам-технологий Spamhaus или предоставляющих услуги на их основе. В основе лежит Spamhaus Project SLU – некоммерческая компания, зарегистрированная в Андорре, которая отслеживает источники спама и киберугрозы, такие как фишинг, вредоносное ПО и ботнеты, и публикует бесплатные DNSBL. Управлением коммерческими услугами занимается британская компания по доставке данных Spamhaus Technology Ltd., расположенная в Лондоне, Великобритания, которая обеспечивает распространение данных для масштабных систем фильтрации спама.

e360 судебный иск

В сентябре 2006 года Дэвид Линхардт, владелец-оператор американской компании, занимающейся массовой рассылкой электронной почты, "e360 Insight LLC", подал иск в Иллинойсе (США) против Spamhaus (Великобритания) за включение его рассылок в черный список. Поскольку Spamhaus являлась британской организацией, не имеющей связей с Иллинойсом или США, дело было переведено из суда штата в Федеральный окружной суд США по Северному округу Иллинойса, и было запрошено его отклонение по причине очевидного отсутствия юрисдикции. Однако суд штата Иллинойс, под председательством судьи Чарльза Кокораса, проигнорировал просьбу об отклонении и продолжил рассмотрение дела против британской Spamhaus, не рассматривая вопрос о юрисдикции, что побудило британского депутата Дерека Уайатта потребовать отстранения судьи от должности. Не получив рассмотрения своего возражения по юрисдикции, Spamhaus отказалась от дальнейшего участия в судебном процессе в США и отозвала своего адвоката. Судья Кокорас, однако, возмущенный тем, что Spamhaus "покинула" его суд, посчитал, что британская Spamhaus "технически приняла юрисдикцию", лишь отреагировав на иск, и присудил e360 решение по умолчанию на сумму 11 715 000 долларов США в качестве компенсации ущерба. Spamhaus впоследствии заявила, что проигнорирует это решение, поскольку решения по умолчанию, вынесенные судами США без проведения судебного разбирательства, "не имеют юридической силы в Великобритании и не могут быть применены в соответствии с британской правовой системой". После вынесения решения в свою пользу, e360 подала ходатайство с целью принуждения ICANN к удалению доменных записей Spamhaus до момента удовлетворения решения по умолчанию. ICANN возразила, заявив, что не обладает ни возможностью, ни полномочиями удалять доменные записи Spamhaus, являющейся британской компанией. 20 октября 2006 года судья Кокорас вынес решение об отклонении ходатайства e360 против ICANN, указав в своем заключении, что "нет никаких оснований полагать, что ICANN не является независимой от Spamhaus, что исключает вывод о том, что она действует совместно" с Spamhaus, и что суд не имеет юрисдикции над ICANN в данном вопросе. Суд также постановил, что удаление регистрации доменного имени Spamhaus является мерой, "слишком широкой для применения в данном случае", поскольку это "прервало бы всю законную онлайн-деятельность Spamhaus через ее существующий домен, а не только ту, которая противоречит" решению по умолчанию. Кокорас заключил: "[Н]есмотря на то, что мы не будем поощрять или терпеть несоблюдение действительного постановления этого суда [т.е. отказ Spamhaus удовлетворить решение по умолчанию], мы также не будем применять санкцию, не соответствующую степени тяжести проступка". В 2007 году чикагская юридическая фирма Jenner & Block LLP взяла на себя дело Spamhaus pro bono publico и успешно обжаловала решение по умолчанию. Федеральный апелляционный суд США по Седьмому округу отменил решение о возмещении ущерба и направил дело обратно в окружной суд для более детального изучения вопроса о размере ущерба. После успешной апелляции Jenner & Block LLP в 2010 году судья Кокорас снизил размер присужденного ущерба в 11,7 миллионов долларов США до 27 002 долларов США – 1 доллар за причинение вреда перспективам получения экономической выгоды, 1 доллар за клевету и 27 000 долларов США за "существующие контракты". Обе стороны подали апелляцию, но аргументы e360 в пользу увеличения размера ущерба были резко раскритикованы судьей Ричардом Познером из Седьмого округа: "Я никогда не видел столь некомпетентного представления дела о возмещении ущерба", – заявил Познер. "Это не только некомпетентно, но и гротескно. Суммы ущерба колеблются от 11 до 130 миллионов долларов, от 122 до 33 миллионов долларов. Фактически, ущерб, вероятно, равен нулю". И во второй раз апелляционный суд отменил решение о возмещении ущерба. Наконец, 2 сентября 2011 года суд штата Иллинойс снизил размер присужденного ущерба до 3 долларов США (трех долларов) и обязал истца e360 выплатить Spamhaus судебные издержки, связанные с обжалованием. В ходе этих разбирательств, в январе 2008 года e360 Insight LLC подала заявление о банкротстве и прекратила свою деятельность, указав в качестве причины астрономические юридические расходы, связанные с этим судебным делом.

In September 2006, David Linhardt, the owner operator of American bulk emailing company "e360 Insight LLC", filed a lawsuit in Illinois USA against Spamhaus in the UK for blacklisting his bulk mailings. Spamhaus being a British organisation with no ties to Illinois or the U. S. had the case moved from the state court to the U. S. Federal District Court for the Northern District of Illinois and asked to have the case dismissed for obvious lack of jurisdiction. The Illinois court however, presided over by Judge Charles Kocoras, ignored the request for dismissal and proceeded with the case against British based Spamhaus without considering the jurisdiction issue, prompting British MP Derek Wyatt to call for the judge to be suspended from office. Not having had its objection to jurisdiction examined, Spamhaus refused to participate in the U. S. case any further and withdrew its counsel. Judge Kocoras however, angry at Spamhaus having ‘walked out’ of his court, deemed British based Spamhaus to have "technically accepted jurisdiction" by having initially responded at all, and awarded e360 a Default Judgement totalling US$11,715,000 in damages. Spamhaus subsequently announced that it would ignore the judgement because default judgements issued by U. S. courts without a trial "have no validity in the U. K. and cannot be enforced under the British legal system". Following the default ruling in its favour, e360 filed a motion to attempt to force ICANN to remove the domain records of Spamhaus until the default judgement had been satisfied. and ICANN protested that they had neither the ability nor the authority to remove the domain records of Spamhaus, which is a UK based company. On 20 October 2006, Judge Kocoras issued a ruling denying e360's motion against ICANN, stating in his opinion that "there has been no indication that ICANN [is] not [an] independent entit[y] [from Spamhaus], thus preventing a conclusion that [it] is acting in concert" with Spamhaus and that the court had no authority over ICANN in this matter. The court further ruled that removing Spamhaus's domain name registration was a remedy that was "too broad to be warranted in this case", because it would "cut off all lawful online activities of Spamhaus via its existing domain name, not just those that are in contravention" of the default judgment. Kocoras concluded, "[w]hile we will not condone or tolerate noncompliance with a valid order of this court [i. e., Spamhaus' refusal to satisfy the default judgement] neither will we impose a sanction that does not correspond to the gravity of the offending conduct". In 2007, Chicago law firm Jenner & Block LLP took up Spamhaus's case pro bono publico and successfully appealed the default ruling. The U. S. federal Court of Appeals for the Seventh Circuit vacated the damages award and remanded the matter back to the district court for a more extensive inquiry to determine damages. Following the successful Appeal by Jenner & Block LLP in 2010 Judge Kocoras reduced the $11.7 million damages award to $27,002—$1 for tortious interference with prospective economic advantage, $1 for claims of defamation, and $27,000 for "existing contracts". Both parties appealed, but e360's case for increasing the damages was sharply criticized by Judge Richard Posner of the Seventh Circuit: "I have never seen such an incompetent presentation of a damages case," Posner said. "It's not only incompetent, it's grotesque. You've got damages jumping around from $11 million to $130 million to $122 million to $33 million. In fact, the damages are probably zero." and for a second time the Court of Appeals vacated the damages award. Finally, on 2 September 2011 the Illinois court reduced the damages award to just $3 (three dollars) total, and ordered the plaintiff e360 to pay to Spamhaus the costs of the appeal for the defence. In the course of these proceedings, in January 2008 e360 Insight LLC filed for bankruptcy and closed down, citing astronomical legal bills associated with this court case as the reason for its demise.

Спамхаус против nic.at

В июне 2007 года Spamhaus обратился в национальный реестр доменов Австрии, nic.at, с просьбой приостановить действие ряда доменов, утверждая, что они были зарегистрированы анонимно фишинговыми группировками для незаконной рассылки фишинговых сообщений с целью кражи банковских данных. Реестр nic.at отклонил запрос, заявив, что приостановка доменов нарушит австрийское законодательство, даже несмотря на то, что они использовались в преступных целях, и потребовал предоставить доказательства того, что домены были зарегистрированы под вымышленными именами. В течение некоторого времени эти домены продолжали использоваться для фишинга владельцев счетов в европейских банках. В конечном итоге Spamhaus внес почтовый сервер nic.at в свой спам-черный список SBL, руководствуясь политикой SBL "Сознательное предоставление услуг поддержки спама ради прибыли", что на несколько дней привело к сбоям в почтовом трафике nic.at.

Блокировка IP-адресов Google Docs

В августе 2010 года Spamhaus добавил некоторые IP-адреса, контролируемые Google и используемые Google Docs, в свой список спама SBL из-за того, что Google Docs являлся крупным источником неконтролируемой рассылки спама. Google оперативно устранил проблему, и Spamhaus исключил эти адреса из списка. Хотя некоторые СМИ поначалу ошибочно сообщали, что заблокированы IP-адреса, используемые Gmail, впоследствии было уточнено, что блокировка коснулась только Google Docs.

Спор о CyberBunker и DDoS-атака

В марте 2013 года CyberBunker, интернет-провайдер, названный в честь своей бывшей штаб-квартиры в неиспользуемом бункере НАТО в Нидерландах, который "предлагает анонимный хостинг всего, кроме детской порнографии и всего, связанного с терроризмом", был добавлен в черный список Spamhaus, используемый почтовыми провайдерами для борьбы со спамом. Вскоре после этого, начиная с 18 марта, Spamhaus подвергся DDoS-атаке, использующей давно известную уязвимость в системе доменных имен (DNS), позволяющую генерировать огромный объем трафика с устройств, принадлежащих другим пользователям, посредством спуфинга IP-адресов. Устройства, задействованные в атаке, могли быть такими простыми, как кабельная приставка, подключенная к интернету. Атака была беспрецедентной по масштабу (пиковый трафик достиг 300 Гбит/с; в среднем, крупная атака достигает 50 Гбит/с, а самая большая ранее зафиксированная публично составляла 100 Гбит/с) и была направлена на DNS-серверы Spamhaus; по состоянию на 2013 год последствия атаки продолжались более недели. Стив Линфорд, генеральный директор Spamhaus, заявил, что они выдержали атаку, получив помощь от других интернет-компаний, таких как Google, для поглощения избыточного трафика. Линфорд также сообщил, что расследованием атаки занимаются пять различных национальных киберполицейских сил по всему миру, что впоследствии было подтверждено в новостях: ФБР, Европол, Национальное агентство по борьбе с преступностью Великобритании (NCA), Национальное подразделение полиции Нидерландов по борьбе с высокотехнологичной преступностью (NHTCU) и Национальная полиция Испании. После этого фокус атаки был перенаправлен на компании, предоставляющие сетевые подключения Cloudflare. Однако Свен Олаф Кампхуис, владелец CyberBunker, опубликовал 23 марта на своей странице в Facebook следующее сообщение: "Всем, нужна небольшая помощь в закрытии незаконного проекта по клевете и шантажу 'spamhaus.org', который возомнил себя вправе диктовать, что должно и чего не должно быть в интернете". 26 апреля 2013 года владелец CyberBunker, Свен Олаф Кампхуис, был арестован в Испании за участие в атаке на Spamhaus. Он находился под стражей 55 дней в ожидании экстрадиции в Нидерланды, затем был освобожден под залог и в конечном итоге признан виновным и приговорен к 240 дням тюремного заключения, оставшаяся часть срока была условно отменена. Арест ‘Narko’: Британское национальное подразделение по борьбе с киберпреступностью установило, что лондонский школьник был тайно арестован как член подозреваемой организованной преступной группировки, ответственной за DDoS-атаки. В брифинге, содержащем подробности о предполагаемой причастности школьника, говорится: "У подозреваемого были открыты компьютерные системы и осуществлялся вход в различные виртуальные системы и форумы. На банковском счете субъекта обнаружена значительная сумма денежных средств. Финансовые следователи в настоящее время принимают меры по аресту этих средств".

In March 2013, CyberBunker, an internet provider named after its former headquarters in a surplus NATO bunker in the Netherlands that "offers anonymous hosting of anything except child porn and anything related to terrorism" was added to the Spamhaus blacklist used by email providers to weed out spam. Shortly afterwards, beginning on March 18, Spamhaus was the target of a distributed denial of service (DDoS) attack exploiting a long known vulnerability in the Domain Name System (DNS) which permits origination of massive quantities of messages at devices owned by others using IP address spoofing. Devices exploited in the attack may be as simple as a cable converter box connected to the internet. The attack was of a previously unreported scale (peaking at 300 Gbit/s; an average large scale attack might reach 50 Gbit/s, and the largest previous publicly reported attack was 100 Gbit/s) was launched against Spamhaus's DNS servers; as of 2013 the effects of the attack had lasted for over a week. Steve Linford, chief executive for Spamhaus, said that they had withstood the attack, using the assistance of other internet companies such as Google to absorb the excess traffic. Linford also claimed that the attack was being investigated by five different national cyber police forces around the world, later confirmed in news reports as being the FBI, Europol, the British National Crime Agency (NCA), the Dutch Police National High Tech Crime Unit (NHTCU), and the Spanish National Police. after which the focus of the attack was redirected to the companies that provide Cloudflare's network connections. however, Sven Olaf Kamphuis, the owner of CyberBunker, posted to his Facebook account on 23 March "Yo anons, we could use a little help in shutting down illegal slander and blackmail censorship project 'spamhaus. org,' which thinks it can dictate its views on what should and should not be on the Internet." On 26 April 2013, the owner of CyberBunker, Sven Olaf Kamphuis, was arrested in Spain for his part in the attack on Spamhaus. He was held in jail for 55 days pending extradition to the Netherlands, was released pending trial, and was ultimately found guilty and sentenced to 240 days in jail, with the remaining days suspended. The arrest of ‘Narko’: The British National Cyber Crime Unit revealed that a London schoolboy had been secretly arrested as part of a suspected organised crime gang responsible for the DDoS attacks. A briefing document giving details of the schoolboy's alleged involvement states: "The suspect was found with his computer systems open and logged on to various virtual systems and forums. The subject has a significant amount of money flowing through his bank account. Financial investigators are in the process of restraining monies."

Эймс против Spamhaus Project Ltd

В 2014 году Spamhaus подали в суд предприниматели из Калифорнии Крейг Эймс и Роб Макги, связанные с бизнесом услуг массовой email-рассылки, изначально через американскую корпорацию Blackstar Media LLC, а затем в качестве сотрудников Blackstar Marketing, дочерней компании английской Adconion Media Group Limited, которая приобрела Blackstar Media в апреле 2011 года. Несмотря на то, что первоначальное ходатайство Spamhaus об отклонении исков было отклонено, в конечном итоге Spamhaus выиграла дело, когда истцы отказались от своих требований и оплатили судебные издержки Spamhaus.