<div dir="ltr"><div>Hello,</div><div>As of Tue Nov 25 15:03:57 UTC 2014 in response to the findings of Mr. Bortzmeyer I have flushed cache on affected Neustar servers and checks are now responding correctly for all Neustar recursives.</div><div><br></div><div>Steve DeJong</div><div>Neustar - UltraDNS</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Nov 25, 2014 at 12:45 AM, Stephane Bortzmeyer <span dir="ltr"><<a href="mailto:bortzmeyer@nic.fr" target="_blank">bortzmeyer@nic.fr</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">On Sun, Nov 23, 2014 at 07:38:40PM -0800,<br>
 Brad Volz <<a href="mailto:bradv@curmudgeon.net">bradv@curmudgeon.net</a>> wrote<br>
 a message of 60 lines which said:<br>
<br>
> The craigslist account at one of our registrars was compromised and<br>
> the NS records migrated away from their rightful home.  That issue<br>
> has since been corrected, but the various caches around the Internet<br>
> are still holding the old data.<br>
<br>
As of now (Tue Nov 25 08:42:44 UTC), we still see the wrong NS records<br>
from several places:<br>
<br>
A Neustar open resolver:<br>
<br>
% dig @<a href="http://156.154.71.1" target="_blank">156.154.71.1</a> NS <a href="http://craigslist.org" target="_blank">craigslist.org</a><br>
...<br>
;; ANSWER SECTION:<br>
<a href="http://craigslist.org" target="_blank">craigslist.org</a>.         110317 IN NS <a href="http://ns01.000webhost.com" target="_blank">ns01.000webhost.com</a>.<br>
<a href="http://craigslist.org" target="_blank">craigslist.org</a>.                110317 IN NS <a href="http://ns02.000webhost.com" target="_blank">ns02.000webhost.com</a>.<br>
<br>
A Symantec open resolver:<br>
<br>
% dig @<a href="http://198.153.192.1" target="_blank">198.153.192.1</a> NS <a href="http://craigslist.org" target="_blank">craigslist.org</a><br>
...<br>
<a href="http://craigslist.org" target="_blank">craigslist.org</a>.         110168 IN NS <a href="http://ns01.000webhost.com" target="_blank">ns01.000webhost.com</a>.<br>
<a href="http://craigslist.org" target="_blank">craigslist.org</a>.                110168 IN NS <a href="http://ns02.000webhost.com" target="_blank">ns02.000webhost.com</a>.<br>
<br>
And several organisations like Florida International University.<br>
_______________________________________________<br>
dns-operations mailing list<br>
<a href="mailto:dns-operations@lists.dns-oarc.net">dns-operations@lists.dns-oarc.net</a><br>
<a href="https://lists.dns-oarc.net/mailman/listinfo/dns-operations
dns-jobs" target="_blank">https://lists.dns-oarc.net/mailman/listinfo/dns-operations<br>
dns-jobs</a> mailing list<br>
<a href="https://lists.dns-oarc.net/mailman/listinfo/dns-jobs" target="_blank">https://lists.dns-oarc.net/mailman/listinfo/dns-jobs</a><br>
<br>
</blockquote></div><br></div>