Индивидуальные динамические блокировки по триггерам на ТСПУ

Internet censorship all around the world Russia
1

Примерно с середины января 2024 обнаружил блокировки, срабатывающие после определённых действий на определённое время, только для IP-адреса, с которого они производились.

При обращении:

  • По HTTPS со SNI (api|checkip|assets).windscribe.com (и других доменов сервиса Windscribe) на порт 443
  • (или) по TCP SYN на один из известных IP-адресов VPN-серверов сервиса и порт 443, 587, 21, 22, 80, 123, 143, 3306, 8080, 54783, 1194 (например, 149.88.108.1)
  • (или) по UDP к VPN-протоколу OpenVPN или WireGuard на эти же порты

происходит блокировка на 5 минут:

  • SNI по regexp (api|checkip|assets)\.[0-9a-f]{40}\.com, но при условии, что в имени зоны содержится хотя бы 5 цифр и 4 буквы.
    Т.е. https://api.abcdef0123456789abcdef012345678900000000.com заблокируется, но https://api.abc0000123456789222222012345678900000000.com — нет

Возможно, метод с триггерами используется в том числе для выявления новых VPN-серверов: если пользователь обратился на (api|checkip|assets).windscribe.com или на regexp-домен после его блокировки, а затем в течение 5 минут подключается по OpenVPN или WireGuard к какому-то неизвестному IP-адресу, то это, скорее всего, сервер Windscribe. Если это и происходит, то не в автоматическом режиме.

По IPv6 regexp-домены заблокированы всегда.

3

Если интересно, это 20 байт SHA1 в base16 (hex) кодировке
Источник (Пароль для хэша скрыт в блобе, загружаемом под видом либы из интернета при компиляции. Им это не помогло, на проводе это бесполезно. Впрочем, в коде есть еще динамические домены подгружаемые через DNS записи)

4

Поможет ли вот этот скрипт GitHub - Feriman22/portscan-protection: This script helps to avoid portscanning on Linux systems. уберечь от данных сканирований?

5

О каком сканировании речь? Здесь ничего не сканировалось.

6

При этом, в своей заметке на ресурсе ntc.party (Индивидуальные динамические блокировки по триггерам на ТСПУ) пишет о сканировании и ValdikSS[…]

7

Вот выше прислали ссылку. Описывают как Active Probing.

8

ЗаТелеком в телеге у себя навыкладывал пачку конфигов, чтобы дропать всю эту любопытствующую плесень, плюс там пара ссылок на гитхаб, где уже люди покумекали заблаговременно.

9

Может эти события и связаны по времени, но не по принципу.