Sinn hinter Guestbook Spam

T

tsk

Member
Hallo zusammen,

ich betreibe auf einem Server eine TYPO3 Website, die an einzelnen Stellen Nutzerkommentare zulässt (z.B. Feedback zu veröffentlichten Tutorials). Ich arbeite dabei ohne Captchas, da ich diese Hürde aus eigener Erfahrung nicht sehr schätze.

Der Beitrag durchläuft einen (selbstprogrammierten) minimalen Spam Filter, der allzu offensichtliche Dinge sofort entfernt. Was bleibt kommt per Email, und kann dann per Klick auf einen von drei Links freigeschaltet, gelöscht oder komplett getilgt werden. Wird er freigeschaltet, so erhalten alle enthaltenen Links automatisch ein Nofollow Attribut.

Seit etwa 6 Monaten wird mein Server etwa 1x pro Stunde von einem Bot aus Lund in Schweden besucht, der für mein Verständnis restlos sinnlose Kommentare hinterlässt:

Ein Beispiel:

Code: 
First name: quick loans
Last name: quick loans
E-mail: WsDsDyC@mail.ru
Location: 
Web site: htxx://quickloansshorttermfastcashadvanceonlineloan.com/#659513
Posted from IP: 93.182.156.40
Text:
--------------------------------------------------------------------------
[url=htxx://quickloansshorttermfastcashadvanceonlineloan.com/#948928]loans online[/url] - <a href=htxx://quickloansshorttermfastcashadvanceonlineloan.com/#348382>fast cash loans</a> - htxx://quickloansshorttermfastcashadvanceonlineloan.com/#387572 online loans
--------------------------------------------------------------------------
(Links sind von mir unschädlich gemacht)

Keiner dieser Beiträge wird je das Licht der Welt erblicken - erzeugt aber Arbeit und Frust.

Keine Form der jeweils enthaltenen Urls ist auflösbar - sie führen grundsätzlich zu einem "Not Found" Error (sowohl direkt nach Erhalt der Mail, als auch Tage später). Die Urls wechseln mit jeder neuen Botschaft - sind aber grundsätzlich nie erreichbar. Dass einzige, was sie verbindet sind sprechende Form und Unterbringung der Begriffe "Loans" oder "Credit".

Ich würde gerne verstehen, was diese schleimigen Kreaturen damit bezwecken. Was ist der Trick dabei? Wo liegt der Nutzen für einen eventuellen Dritten, der diese Rotzlöffel bezahlt?

Bin für jede Erhellung dankbar,

Grüße,

Thomas

p.s. Es geht mir an dieser Stelle nicht um die Vermeidung von Spam, sondern nur ums Verständnis des Prinzips dieser Art von Spam.
 
Spontan würde ich sagen, dass die Einträge erstellt werden, weil der Spambot ja nicht wissen kann, dass diese Einträge manuell freigeschaltet werden müssen. Sowas zu kontrollieren und zu überprüfen würde viel länger dauern als einfach blind überall hin zu posten..
 
tsk: Ich würde gerne verstehen, was diese schleimigen Kreaturen damit bezwecken. Was ist der Trick dabei? Wo liegt der Nutzen für einen eventuellen Dritten, der diese Rotzlöffel bezahlt?
Click to expand...

Im Allgemeinen wird der Foren Spam zur Verbreitung von Produkten oder Malware genutzt.

Du musst dir das wie folgt vorstellen:

Ein paar fiktive Namen* zur plastischen Darstellung:

Juri = Spammer
John = Hersteller von $produkt
Hugo = 0day Exploit Entwicker & Botnetzbetreiber
Click to expand...

Szenario I - Backlinks:

John trift Juri auf einer Webseite oder in dunklen IRC-Channels. Er befragt Juri nach den Tarifen, um sein Produkt zu "bewerben". Nachdem die beiden einen Preis für 2 Millionen Backlinks ausgemacht haben, fängt Juri an, sein kleines Botnetz mit dem Auftrag zu füttern. Nun kommen diverse Spam-Bots zum Einsatz, die sich Wordpress,Typo3,$CMS vornehmen und den gewünschten Text im Kommentarfeld hinterlassen.

Dies geschieht so lange, bis entweder John das Geld ausgeht, oder die vereinbarten Backlinks erreicht sind.

Szenario II - Malware:

Hugo saß die letzten 2 Wochen in seinem Keller und hat an einem neuen 0day Exploit für Adobe Acrobat Reader gebastelt. Nun ist der fertig und kann beliebigen Code auf jedem $Windows Rechner ausführen, ohne das die Anti-Viren Software oder eine Firewall dies bemerkt. Er schleust einen Trojaner in ein PDF ein und will nun sein Botnetz erweitern. Er beauftragt Juri mit dieser Aufgabe, natürlich wieder gegen ein Entgelt. Juri hat in seiner Datenbank 100k IFRAME versuchte Webseiten und 2 Millionen Blogs, die er mit dem Link zu besagtem PDF verlinken kann. Gesagt getan. Nun befindet sich auf diversen Blogs und Webseiten das verseuchte PDF und infiziert ahnungslose Besucher, dank dem 0day-Exploit.


Ich hoffe, dass ich dir einen kleinen Einblick, in die Welt des CMS Spam mit den zwei stark vereinfachten Szenarios geben konnte.


* Diese Namen wurden frei gewählt
 
Last edited by a moderator:
Hallo its,

danke für die sehr verständliche Erklärung, und Danke für die Mühe, die Du dir machst.

Das Szenario 1 war mir bereits bekannt. Dieses kann eigentlich nur dann Sinn machen, wenn die Links (auch auf Client-Seite und aus Sicht von Google & Co.) funktionieren.

Wie sieht es in diesem Punkt mit Szenario 2 aus? Ein "Not Found" kommt ja von einem Server. Wie können die "Not Found" mit einem i-Frame koppeln? Und ohne den macht es doch keinen Sinn, oder? Andererseits, sie betreiben ihr finstres Treiben mit einer solchen Inbrunst, dass es irgendwie funktionieren muss. Ich bin schon ganz froh, dass ich unter Linux arbeite, und solche Klicks zusätzlich nur auf einer virtuellen Maschine unter KVM ausführe.

Merkwürdigerweise ist kein Botnet im Spiel. Die stetig wechselnden IPs verweisen alle auf die gleiche Firma in Lund, Schweden. Ohne große Hoffnung zu haben, habe ich diesen Drecksladen bei der Polizei in Lund angezeigt. Nicht wegen Guestbook Spammerei, sondern wegen Missbrauch meiner Ressourcen und Verstoß gegen meine Nutzungsbedingungen. Da ich mit zeitlichem Versatz in die Haftung gerate, werde ich durch einen Guestbook Spammer genötigt, Ressourcen und Geld in die Hand zu nehmen, um sein kriminelles Treiben zu verhindern.

Auf die analoge Welt projektiert ist dies ein Szenario wie folgt:

Öffentliches Restaurant. Der Wirt hat selbstverständlich Hausrecht, welches er auch über seine gut sichtbaren Nutzungsbedingungen kund tut. Da es sich um ein Italienisches Restaurant handelt, kommt kurze Zeit später die Mafia, um hier ihre Meetings abzuhalten. Die mach zuerst mal klar, dass sie sich mit den Nutzungsbedingungen gerne den Hintern abwischen. Der Wirt findet das irgendwie gar nicht so toll, und wendet sich an die Polizei. Die teilt ihm dann mit, dass ihn ja niemand gezwungen habe, ein öffentliches Restaurant zu betreiben, und dass er doch einfach sein Hausrecht nutzen soll, um das Problem zu erledigen. Danach hauen sie sich noch vor Spaß auf die Schenkel.

Es ist kafkaesk, dass sich ein solcher Spammer in Europa rechtskonform zu verhalten scheint.


@Mr.Check: Das war schon klar. Spannend wäre jetzt natürlich der Punkt, dass es für den Botentwickler ein Leichtes gewesen wäre, existente Links auf "nofollow" zu untersuchen, bevor der Bot sich um dieses Forum bemüht. Eben weil es ihnen völlig Latte ist, ob ihr Müll ins Leere läuft oder nicht, sie einfach jedes einmal entdeckte Formular bis zum jüngsten Tage zumüllen, zeigt, wie grundsätzlich falsch die EU-weite Toleranz von Forum Spam ist.
 
Wie sieht es in diesem Punkt mit Szenario 2 aus? Ein "Not Found" kommt ja von einem Server. Wie können die "Not Found" mit einem i-Frame koppeln? Und ohne den macht es doch keinen Sinn, oder? Andererseits, sie betreiben ihr finstres Treiben mit einer solchen Inbrunst, dass es irgendwie funktionieren muss. Ich bin schon ganz froh, dass ich unter Linux arbeite, und solche Klicks zusätzlich nur auf einer virtuellen Maschine unter KVM ausführe.
Click to expand...

Du musst dir das so vorstellen:

Juri geht los und hackt tausende von Webseiten und fügt dort einen IFRAME ein mit seinem Zielhost. Der Zielhost kann entweder auf einem Bullet-Proof Server liegen oder bei einem ahnungslosen Serverbetreiber.

Wenn nun Hugo sein Exploit los werden will zahlt er Juri die Kohle und er legt das PDF auf den Zielhost. Dort wird es dann an die tausenden Seiten ausgeliefert. Sofern der Zielhost "down" genommen wird, aus welchen Gründen auch immer, wird halt ein 404 ausgeliefert. Das eigentliche IFRAME ist ja noch vorhanden.

Nun muss Juri wieder losgehen und die IFRAME Pfade anpassen, oder einfach neue einbauen.
 
Ich beginne zu begreifen. Die Urls, die er in meinem Formular abladen will weisen also auf möglicherweise gekaperte Server (denn bei einem bulletprove Server im eigenen Umfeld der üblen Jungs bräuchte sich die Url nie ändern). Diese Variante könnte es sein.

Würde man dann aber nicht erwarten können, dass eine "frische" Url zumindest kurzzeitig erreichbar wäre? So macht das ganze doch keinen wirklichen Sinn.
 
Würde man dann aber nicht erwarten können, dass eine "frische" Url zumindest kurzzeitig erreichbar wäre? So macht das ganze doch keinen wirklichen Sinn.
Click to expand...

Leider ist es nicht immer nachzuvollziehen, warum die URL offline ist. Vielleicht wurde das Kontingent erreicht und Juri war zu faul den Automatismus zu stoppen.

Vielleicht war die dementsprechende Abuse-Abteilung schnell genug die Zielurl offline zu nehmen.

Über die "Warums" kann man keine definitive Aussage treffen.
 
Können genauso gut Bots eines stillgelegten Botnets sein, die per interner Routine URLs im Voraus oder zu einem definierten Zeitpunkt bilden. Durch das Lahmlegen des/der entsprechenden C&C-Server werden diese Domains aber nicht mehr automatisiert registriert und die Bots bekommen keine weiteren neuen Anweisungen und Zielobjekte mehr mitgeteilt. Je nach Programmierung der Bots arbeiten diese stumpf weiter, oder schalten sich irgendwann selbst ab.

Ist heutzutage ein völlig normales Verhalten für Bots, quasi Standard.
 
Ja, ich denke, dass wird es sein. Kann es denn auch sein, dass der schwedische Verbreiter selbst ein Opfer ist? Andererseits, in vielen Spam Foren sind die seit mehr als 9 Monaten bekannt.

Ich werde bei erster Gelegenheit meinen Antispam-Algorithmus verbessern.

Danke Euch für die Infos

Thomas
 
tsk said:
Kann es denn auch sein, dass der schwedische Verbreiter selbst ein Opfer ist?
Click to expand...
Ja, mit extrem hoher Wahrscheinlichkeit so gar, schliesslich wird sich ein Botnet-Betreiber kaum selbst seinen Bot installieren und fürs externe Netz scharf schalten. So dumm sind die Jungs und Mädels nun auch nicht ;)

Schreibe die Abuse-Abteilung des Netblock-Owners in sauberem, freundlichem Englisch an und lege unverfälschte und aussagekräftige Logs bei.
 
You must log in or register to reply here.
Back
Top