Neues(?) von der Gästebuch-Spammer-Front

[Ingo Turski]

Hi,

seit ein paar Monaten beschäftige ich mich ja intensiv mit dem Thema Gästebuch-Spam und habe gerade entdeckt, dass ein Script jetzt offenbar einen großangelegten Test macht: Google-Ergebnisse ungefähr 58.000 für "Test myfunction comment".
Relativ auffällig (und bei meinem Gästebuch neu) ist, dass im ersten Versuch meine über CSS versteckten Fallen ausgefüllt werden und Sekunden später im zweiten Versuch genau diese freigelassen werden. Ich experimentiere jetzt mal mit der Anordnung der Felder im Quelltext.

Der gleiche Absender mit urainischer IP aus xbox.dedi.inhoster.com hatte ähnliche Tests bereits vor einer Woche losgeschickt, jedoch mit bewußt zufälligem, aber doch spamverdächtigen Inhalt wie:

name:     vqcywqb  
email:    [e-mail]  
homepage: http://bxfpklyidtez.com/  
  
author:   vqcywqb  
subject:  CEAUJQvmbLp  
text:     u0eb7a <a href="http://mdmijxnjukgs.com/">mdmijxnjukgs</a>, [url=http://wpakbdcfemrc.com/]wpakbdcfemrc[/url], [link=http://srxfzevkzcnu.com/]srxfzevkzcnu[/link], http://opwosttmuitl.com/

wobei solche Tests auch von einer IP der TurkTelekom bei mir ankamen.

Zum Glück erfolgten alle diese Versuche so schnell, dass sie zumindest über meine Zeitmessung blockiert wurden und sich diese als am zuverlässigsten bewährt hat.
Übrigens kam von bisher über 8200 Spams nur ein einziger über die Telefonica de Espana SAU abgeschickter durch meine Filter - auch ein w.o. beschriebener wirrer Test, dessen Generierung nur leider etwas länger als mein Zeitlimit von 24 Sekunden dauerte.

freundliche Grüße
Ingo

[hilker]

Moin Moin! :)

Zum Glück erfolgten alle diese Versuche so schnell, dass sie zumindest über meine Zeitmessung blockiert wurden und sich diese als am zuverlässigsten bewährt hat.

Ich habe die Erfahrung gemacht, dass die Spamer über ständig wechselnde Proxys agieren. 20 Aufrufe in wenigen Sekunden über 20 verschiedene IP-Adressen sind keine Seltenheit.
Offenbar werden schlecht konfigurierte Proxys aus Privaten Netzwerken gern missbraucht.
Hast Du schon mal nen Proxy zum Netz offen aufgestezt und gewartet wie lange es dauert bis die Spammer ihn gefunden haben und nutzen? Mitloggen ist da nicht unspannend :)

Übrigens kam von bisher über 8200 Spams nur ein einziger über die Telefonica de Espana SAU abgeschickter durch meine Filter - auch ein w.o. beschriebener wirrer Test, dessen Generierung nur leider etwas länger als mein Zeitlimit von 24 Sekunden dauerte.

Nunja, das Ganze ist halt ein Wettrüsten zwischen Spammern und Antispammern. Wenn die Welt nicht so fürchterlich verblödet wäre würde es das Phänomen Spam wohl garnicht geben, da es zu keinem Erfolg führen würde.

freundliche Grüße
Ingo

so far,
  der Hilker

[Ingo Turski]

Hi,

Ich habe die Erfahrung gemacht, dass die Spamer über ständig wechselnde Proxys agieren. 20 Aufrufe in wenigen Sekunden über 20 verschiedene IP-Adressen sind keine Seltenheit.
Offenbar werden schlecht konfigurierte Proxys aus Privaten Netzwerken gern missbraucht.

"Meine" häufigsten Spammer kommen von bestimmten IPs bzw. IP-Bereichen - keine Ahnung, ob die nun Proxies nutzen.
Bei einer fremden Gästebuch-Installation kommen die meisten Spams über *.bezeqint.net und bei meiner eigenen (die dieser Spammer trotz meiner Einladung ignoriert) über 84.16.227.90, 203.223.153.107, 195.225.177.136, *.comcast.net. und *.rr.com - um nur mal die häufigsten anzugeben.

freundliche Grüße
Ingo

[Patrick Andrieu]

Hallo Ingo!

text:     u0eb7a <a href="http://mdmijxnjukgs.com/">mdmijxnjukgs</a>, [url=http://wpakbdcfemrc.com/]wpakbdcfemrc[/url], [link=http://srxfzevkzcnu.com/]srxfzevkzcnu[/link], http://opwosttmuitl.com/[/code]

Dadurch, das das unmögliche Gästebuch jegliche Angabe eines Links oder einer einfach geschriebenen Web-Adresse im Nachrichtenfeld unterbindet, mache ich mir um sochen Spam keine großen Gedanken ;)

Ich habe dennoch meine Logfiles dieser Woche studiert, und keinen »Besuch« über die von Dir gegebenen IPs festellen können.

Vielmehr zu schaffen macht mir der manuell eingetragene Comment Spam. Ich hatte diese Woche mit einem ganz besonderen Fall zu tun: der (oder die) Spammer(in) hat sich jeden Tag ab ca. 9.15 Uhr am Rechner gesetzt, in Google »gästebuch eintrag url« eingetippt, und anscheinend systematisch alle Gästebuch verspammt, die Google ausliefert. Das SELFHTML Gästebuch ist auf Seite eins, das Atomic Eggs GB bei diesem Suchbegriff erst ab ca. Seite 20 (bei einer Auflistung von 10 Treffern pro Seite). Der erste Spam im SELFHTML GB kam am Montag um 9.27 Uhr, der zweite im Atomic Eggs GB um 11.23 Uhr. In der Zeit dazwischen hat er/sie mit Sicherheit einen ganzen Haufen anderer Gästebücher verspammt. Am Dienstag hat er/sie wieder um etwa der selben Uhrzeit das GB aufgerufen (gefunden mit dem selben Suchbegriff), sich aber nicht eingetragen. Am Mittowoch noch mal, diesmal hat er wieder einen Eintrag gepostet. Am Donnerstag wieder, diesmal wiederum ohne sich einzutragen. Alles über die selbe IP-Gruppe (dt. Telekom Nürnberg).

Ich habe den Betreiber der beworbenen Website (i-profis.com <- falls jemand auch solche Einträge mit dieser Website unter der URL-Angabe in seinem Gästebuch findet, bitte hier melden) angemailt, ein für die Werbung zuständiger Herr T. meint, er wisse von nichts, von deren Rechnern käme es nicht, er glaube, »dass uns hier jemand nur Ärger machen möchte«, die Firma hätte schon »Ärger hier im Haus mit Rechtsanwälten« (weswegen sagte er aber nicht), er müsse den Spammer unbedingt finden... In meinen Augen nicht sehr glaubwürdig... Den Webhoster habe ich auch angeschrieben, doch diese tun im Gegensatz zu freenet nichts (leider ist mein Thread von letzter Woche »Seite einer Gästebuch-Spammerin sperren lassen« nicht ins Archiv gelandet, vielleicht hattest Du ihn aber schon gelesen).

Nach jedem Eintrag in eins der GB schaue ich in die Logfiles, und wenn das GB über Google mithilfe eines von diesen Begriffen gefunden wurde, die in diesen vor allem von den 25-EUR-pro-Mail-verdienen-Anbietern verkauften E-Books empfohlen werden, wird der Eintrag gelöscht (bleibt bei mir als E-Mail) und dagegen vorgegangen.

Viele Grüße aus Frankfurt/Main,
Patrick

[Ingo Turski]

Hi,

in Google »gästebuch eintrag url« eingetippt

vielleicht solltest Du die Seite einfach etwas ändern?
Mein Gästebuch wird unter »gästebuch beitrag« (auf Seite 6) gelistet un das zieht vielleicht nicht soviele Spammer an?

Nach jedem Eintrag in eins der GB schaue ich in die Logfiles, und wenn das GB über Google mithilfe eines von diesen Begriffen gefunden wurde, die in diesen vor allem von den 25-EUR-pro-Mail-verdienen-Anbietern verkauften E-Books empfohlen werden, wird der Eintrag gelöscht (bleibt bei mir als E-Mail) und dagegen vorgegangen.

ich lasse mir die geblockten Spams (gespeichert werden sie erst gar nicht) per Mail schicken, habe aber inzwischen 75 IP-Bereiche der häufigsten Spammer notiert und hierbei ausgeschlossen - die Flut wäre mir einfach zuviel. Ich überlege auch schon, ob ich diese IP-Liste automatisch aktualisieren lasse - und sicherheitshalber auch bestimmte IPs sehr "fleißiger" Spammer als zusätzliches Filterkriterium nutze.

freundliche Grüße
Ingo

[Patrick Andrieu]

Hallo Ingo!

vielleicht solltest Du die Seite einfach etwas ändern?
Mein Gästebuch wird unter »gästebuch beitrag« (auf Seite 6) gelistet un das zieht vielleicht nicht soviele Spammer an?

Ach, ich habe erstmal die letztens erwähnte Rewrite Rule etwas verschärft. Aber auf lange Sicht ist es ja eine Idee, zumindest solange bis neue Suchbegriffe in die eBooks aufgenommen werden, womit diese MLM-Fritzen ja ihr Geld verdienen.

ich lasse mir die geblockten Spams (gespeichert werden sie erst gar nicht) per Mail schicken,

Ich habe noch nichts implementiert, was mir solche Versuche anzeigt. Die Dateien, die das Gästebuch bei Ablehnung eines Eintrags schreibt vermerken nur die Anzahl der Versuche, etwas »Unerwünschtes« zu posten - nicht aber was. Doch kommt es nicht so oft, dass überhaupt so eine Datei geschrieben wird, die meisten halten sich also an die Regeln der Formularseite. Für eine nächste Version lasse ich mir aber etwas einfallen. In die Userlist wird auch nur dann etwas geschrieben, wenn ein Eintrag erflogreich war, vielleicht lasse ich noch eine Spammerlist generieren... So lange werde ich in den Logs sehen, wer wann wie oft aufs GB zugegriffen hat.

Viele Grüße aus Frankfurt/Main,
Patrick

[Patrick Andrieu]

Auch was neues!

ein für die Werbung zuständiger Herr T. meint, er wisse von nichts, von deren Rechnern käme es nicht, er glaube, »dass uns hier jemand nur Ärger machen möchte«, die Firma hätte schon »Ärger hier im Haus mit Rechtsanwälten« (weswegen sagte er aber nicht), er müsse den Spammer unbedingt finden... In meinen Augen nicht sehr glaubwürdig...

War doch klar, dass er gelogen hat, wie folgendes zeigt: Er hat über einen Webinterface eine meiner E-Mail (mit einem Link drin) gelesen!

Außerdem liest er im Forum mit. Dank der Zugriffe auf meine Signatur konnte ich nachvollziehen, dass er sich einen Beitrag über Spam angeschaut hat, an welchem ich beteiligt war:

http://forum.de.selfhtml.org/archiv/2006/5/t130185/

Wozu eine Sig doch gut ist! Jetzt habe ich eben drei Mails verschickt (Registrar, Webhoster und Dt. Telekom) und bin gespannt auf die Antworten!

BTW:

(leider ist mein Thread von letzter Woche »Seite einer Gästebuch-Spammerin sperren lassen« nicht ins Archiv gelandet, vielleicht hattest Du ihn aber schon gelesen).

Christian war so nett und hat den Thread ins Archiv verschoben:

Seite einer Gästebuch-Spammerin sperren lassen

Viele Grüße aus Frankfurt/Main,
Patrick

[Patrick Andrieu]

Hallo Patrick!

Wozu eine Sig doch gut ist! Jetzt habe ich eben drei Mails verschickt (Registrar, Webhoster und Dt. Telekom) und bin gespannt auf die Antworten!

Hier habe ich noch keine Antwort, aber hier:

Seite einer Gästebuch-Spammerin sperren lassen

kann ich jetzt sagen: Nummer 2!

Der Spammer hatte wieder so eine 25EUR-pro-Mail-Website beworben. Anscheinend sind sie bei Webhostern nicht so sehr beliebt, und bei kostenlosen Anbietern eh nicht, denn sie verlieren kein Geld, wenn sie die Seite entfernen.

Ich kann also nur jeden raten, dessen Gästebuch oder Blog Opfer von solchem Comment Spam ist, die Webhoster der Spammer anzuschreiben und den Spam zu melden (mit Log-Auszug und Referrer-Angabe).

Viele Grüße aus Frankfurt/Main,
Patrick