Кратко

  • Sanjaya и Carlos Martinez разобрали три перехвата адресного пространства LACNIC 9, 10 и 12 июля 2025 года продолжительностью около 20, 15 и пяти минут.
  • Злоумышленник выдал себя за владельца ASN с помощью поддельного бланка и похожего домена; небольшой провайдер оказался ещё одной жертвой.

Сервер принял письмо, но адресат его не получил. Жалоба в службу LACNIC вывела следователей на три коротких перехвата BGP-маршрутов её адресного пространства. Первый начался 9 июля 2025 года в 19:47, второй — 10 июля в 20:34, третий — 12 июля в 10:13 по UTC−3. Они длились примерно 20, 15 и пять минут. Налётчик успевал показать маршрут миру и исчезнуть.

Sanjaya из APNIC и Carlos Martinez из LACNIC представили расследование на APNIC 61. LACNIC передала сведения APNIC, та связалась с индонезийской APJII/IDNIC. Настоящий владелец ASN — небольшой интернет-провайдер — не заказывал новый транзит. Преступник использовал бланк с его названием и домен, похожий на настоящий, чтобы крупный международный оператор открыл BGP-сессию. Захваченная AS стала транзитной площадкой для коротких объявлений с другими подложными ASN источника.

В совместной публикации LACNIC законный владелец назван жертвой. После его сообщения оператор закрыл мошенническую сессию; APJII/IDNIC и провайдер направили итоговый отчёт обоим региональным реестрам. APNIC зафиксировала совместный доклад. Открытые материалы не называют объём перенаправленного трафика. Зато ясно показывают момент, когда постороннему открыли вход в транзит.

Расследование Sanjaya приводит к стойке оформления клиента. Машина добросовестно передавала то, что человек разрешил передавать. Чей звонок владельцу ASN подтвердил право нового клиента на эту сессию?