Zieladresse wird bei Swisscom gedropped

[stevenevil]

Zum dritten Mal dieses Jahr kann ich mein bevorzugtes Internetforum nicht mehr erreichen. Der Swisscom-Support fühlt sich dafür nicht zuständig. Die Aussage vom Support ist in etwa "technisch gesehen scheint ja alles zu funktionieren, wir sind nicht zuständig wenn einzelne Websites nicht erreichbar sind." Der Supportmitarbeiter hatte auch gar nicht verstanden was ich ihm erklärt hatte. Und zum L2 oder L3 Support wollte er mich gar nicht erst vorlassen. Auch auf mein Begehren einen Rückruf der nächsten Instanz zu erwarten wurde nicht eingegangen. Dies wurde zwar laut mündlicher Aussage das Mitarbeiters notiert, ein Rückruf kam aber nie. Darum hier mal meine Story.

Seit 2011 verkehre ich regelmässig auf einem Forum zu meinem speziellen Motorrad. Also etwas komplett unverfängliches. Bis und mit letztes Jahr klappte das auch einwandfrei. Meine Beteiligung dort war aber auch nicht ganz so ausgeprägt wie jüngst. Darum ist mir das Folgende eventuell auch gar nie aufgefallen.

Nun zum Issue:

Von einem Tag auf den Anderen kann ich das Forum unter www.m1800r-forum.de nun zum dritten Mal dieses Jahr nicht mehr erreichen. (Die ersten beiden Male funktionierte es nach ca. 10 Tagen plötzlich wieder) Auch ein PING ist dann nicht mehr möglich. Beim ersten Mal habe ich nicht gleich reagiert, da Foren-Admins normalerweise keine Vollzeitadmins sind und ein Form schon mal zwischendurch nicht erreichbar sein kann. Nach drei Tagen habe ich mich dann aber schon gewundert und etwas weiter gegraben. Dabei habe ich es mal mit einem Proxy versucht und siehe da es funktioniert - mit einem HTTP Proxy kein Problem mehr. So hatte ich wenigstens die Möglichkeit den Admin und die Mitglieder des Forums anzufragen. Vom Admin bekam ich die Bestätigung, dass sein Host die IP, nach Überprüfung, mit Sicherheit nicht blockt. Andere Mitglieder aus der Schweiz hatten auch keine Probleme die Site zu erreichen. (Da war eben die MEI Abstimmung, man weiss ja nie). Allerdings hatte keiner der Mitglieder aus der Schweiz die Swisscom als Provider. Darum habe ich weitergesucht. Und folgendes gefunden:

1) Die Swisscom, resp. bluewin.ch ist auf etlichen!!! BlackLists eingetragen, DBLs & PBLs. Was mich als Kunde doch ziemlich schockiert hat. Weil das bedeutet, das Swisscom Ihr Netz nicht sauber halten kann.

2) Sowie es jedoch ausschaut wird die Zieladresse bereits innerhalb der Swisscom Infrastruktur gedropped. Alle Routen, zumindest die welche ich ausprobiert habe, scheinen über einen Router im 213.3.220.xxx Subnet zu gehen bevor sie die Swisscom verlassen (Siehe drei beliebige Beispiele unten). Die Route zu meinem Zielhost erreicht aber dieses Subnet nie.

Route die das Haus bei Swisscom nicht verlässt:

$ traceroute -f3 www.m1800r-forum.de

traceroute to www.m1800r-forum.de (85.214.137.233), 64 hops max, 52 byte packets

 3  148-64.3-213.bluewin.ch (213.3.64.148)  24.195 ms  23.282 ms  23.651 ms

 4  * * *

 5  9-219-3-213.bluewin.ch (213.3.219.9)  25.957 ms

    13-219-3-213.bluewin.ch (213.3.219.13)  25.513 ms  26.091 ms

 6  18-218-3-213.bluewin.ch (213.3.218.18)  25.641 ms  25.035 ms  24.880 ms

 7  * * *

 8  * * *

 9  * * *

Ab hier gehts nicht mehr weiter

Beispiel 1, eine beliebige .de-Adresse:

$ traceroute -f3 www.willemer.de

traceroute to www.willemer.de (82.165.100.173), 64 hops max, 52 byte packets

 3  148-64.3-213.bluewin.ch (213.3.64.148)  24.515 ms  23.297 ms  23.201 ms

 4  * * *

 5  13-219-3-213.bluewin.ch (213.3.219.13)  24.593 ms

    9-219-3-213.bluewin.ch (213.3.219.9)  24.883 ms  25.034 ms

 6  22-218-3-213.bluewin.ch (213.3.218.22)  24.571 ms  24.346 ms  24.859 ms

 7  * * *

 8  6-220-3-213.bluewin.ch (213.3.220.6)  30.718 ms  24.562 ms  26.553 ms

 9  i00ffm-015-hun0-6-0-0.bb.ip-plus.net (138.187.129.29)  32.230 ms  36.125 ms  36.440 ms

…

Beispiel 2, eine Adress von Yahoo:

$ traceroute -f3 www.av.com

traceroute: Warning: www.av.com has multiple addresses; using 87.248.120.148

traceroute to any-rc.a01.yahoodns.net (87.248.120.148), 64 hops max, 52 byte packets

 3  148-64.3-213.bluewin.ch (213.3.64.148)  24.123 ms  23.318 ms  23.251 ms

 4  * * *

 5  13-219-3-213.bluewin.ch (213.3.219.13)  26.147 ms

    9-219-3-213.bluewin.ch (213.3.219.9)  24.648 ms  23.987 ms

 6  18-218-3-213.bluewin.ch (213.3.218.18)  25.248 ms  25.084 ms  24.104 ms

 7  * * *

 8  6-220-3-213.bluewin.ch (213.3.220.6)  28.317 ms  26.351 ms  23.652 ms

 9  i00ffm-015-hun0-6-0-0.bb.ip-plus.net (138.187.129.29)  34.343 ms  31.427 ms  32.838 ms

…

Beispiel 3, die schweizer Google Adresse:

$ traceroute -f3 www.google.ch

traceroute: Warning: www.google.ch has multiple addresses; using 173.194.116.55

traceroute to www.google.ch (173.194.116.55), 64 hops max, 52 byte packets

 3  148-64.3-213.bluewin.ch (213.3.64.148)  24.543 ms  23.302 ms  23.223 ms

 4  * * *

 5  13-219-3-213.bluewin.ch (213.3.219.13)  25.190 ms

    9-219-3-213.bluewin.ch (213.3.219.9)  24.371 ms  24.305 ms

 6  18-218-3-213.bluewin.ch (213.3.218.18)  24.006 ms  24.512 ms  24.254 ms

 7  * * *

 8  2-220-3-213.bluewin.ch (213.3.220.2)  25.715 ms  23.804 ms  25.232 ms

 9  i79inx-015-ae2.bb.ip-plus.net (138.187.130.108)  23.803 ms  23.956 ms  24.117 ms

…

Habt Ihr Ideen oder gar eigene Erfahrungen damit?

mit freundlichem Gruss

Steve

[krypton]

Diese IP ist von überall aus zu erreichen, nur nicht aus dem Netz der swisscom. Da andere IPs im selben Zielnetz problemlos zu erreichen sind, ist es sehr wahrscheinlich, dass diese IP abslichtlich blockiert wird.

Es gibt Anzeichen, dass dieser Server gehackt und als Malware-Schleuder missbraucht wird/wurde. Das könnte ein Grund für die Sperrung sein.

Aber da sich der Support nicht zuständig fühlt werden wir wohl nie erfahren ob dies tatsächlich so ist und auf welcher Grundlage IPs und Internetseiten blockiert oder wieder freigeschaltet werden.

[XT]

Als Workaround kannst du falls du ipv6 aktiviert hast über http://www.m1800r-forum.de.sixxs.org/ auf die Seite zugreifen.

Vor kurzem gab es ein ähnliches Problem.

http://supportcommunity.swisscom.ch/t5/Diskussionen-zu-Swisscom/20min-ch/m-p/248843/highlight/true#M...

Die IP's 85.214.137.232 oder 85.214.137.234 funktionieren einwandfrei.

85.214.137.233

[corbendallas]

---

@krypton schrieb:

Es gibt Anzeichen, dass dieser Server gehackt und als Malware-Schleuder missbraucht wird/wurde. Das könnte ein Grund für die Sperrung sein.

Aber da sich der Support nicht zuständig fühlt werden wir wohl nie erfahren ob dies tatsächlich so ist und auf welcher Grundlage IPs und Internetseiten blockiert oder wieder freigeschaltet werden.

---

So wird es evt. sein und der Support ist hier nicht zuständig. Dies wird auf anderen Ebenen geregelt. Denn in solchen Fällen wird der Hoster resp. sein Abuse-Kontakt (sollte bei einer Whois Abfrage aufgeführt sein) von der Swisscom Abuse-Abteilung auf sein Sicherheitsleck aufmerksam gemacht und erst nach Bestätigung der Bereinigung der Server wieder zugelassen. Normalerweise werden bei solchen Hacks Phishingseiten gegen CH Firmen platziert.

By the way: Bluewin IP Ranges landen immer wiede auf Blacklist wie auch andere Provider - völlig normal... Und Blacklist ist nicht gleich Blacklist...

[gasoo]

Der Server ist Teil eines Botnets und wird als C&C Server genutzt.
Die IP wird innerhalb der Swisscom geblockt.
Dadurch können Bots innerhalb des Swisscom Netzes nicht mit dem C&C Server kommunizieren.

Da der Server immer noch aktiv zu sein scheint, wird der auch auf der Blacklist bleiben.

Am besten meldest du dich beim Betreiber des Servers und legst ihm nahe er soll doch schauen dass er das Problem löst.

Weitere Infos findest du auch hier:
https://www.sans.org/reading-room/whitepapers/detection/early-malware-detection-correlation-incident...
http://atlas.arbor.net/summary/botnets#servers

Swisscom macht in diesem Fall alles richtig, denn so wird die Swisscom Infrastruktur und somit auch die Kunden geschützt.

Sobald der Server bereinigt ist, wird er auch von der Blacklist genommen.

[krypton]

Der Forenadmin wurde bereits vor einigen Tagen darüber informiert. Bisher gab es jedoch keinerlei Reaktion.