"Homepage" Spammer

German

Well-Known Member
c-b Experte
#1
@ c-b staff

Seit ein paar Tagen melde ich Accounts die weiter nichts tun als Spamlinks auf irgendwelche polnische Seiten als "Homepage" einzutragen. Das vermüllt natürlich Seiten, wie ./recent-activity
Vielleicht will sich das mal jemand ansehen...
 

German

Well-Known Member
c-b Experte
#4
Hmm, wie viele "Punkte für Erfolge" muss man eigentlich haben, um in seinem Profil eine Homepage einzutragen? (Nur so 'ne Idee ... ;))
 

German

Well-Known Member
c-b Experte
#6
Zumindest könnte ich mir vorstellen, dass denen dann die Lust daran vergeht, ständig neue Accounts zu kreieren.
 

Jan Krüger

Well-Known Member
c-b Team
c-b Experte
#10
Ich habe gerade einige Zeit damit verbracht, so an die 200 Accounts zu löschen. Dabei habe ich letztendlich beschlossen, sehr großzügig IP-Adressen zu sperren. Insgesamt habe ich etwas über 2 Millionen IP-Adressen gesperrt - ganze Subnetze des entsprechenden Internetproviders. Es besteht leider eine kleine Chance, dass wir auch "echte" Benutzer aussperren, aber ich habe bis jetzt keine finden können. Praktischerweise befindet sich der Provider eher außerhalb unseres Einzugsgebietes.
 

German

Well-Known Member
c-b Experte
#11
Hey Jan,
danke erst mal. Ja, so eine Lösung war es, die ich mir vorgestellt habe. So lang die sich nicht die Arbeit machen wechselnde Proxies zu nutzen, sollte das ziemlich wirksam sein. Mal abwarten ...
 

-AB-

Well-Known Member
c-b Team
c-b Experte
#14
Und weg... Allerdings werden auch grad noch welche erstellt.

Was mir aufgefallen ist - die Mitglieder hatten ausschließlich *@mail.ru-Adressen - vielleicht kann man da noch einen Filter einbauen, dass man die Mitglieder mit diesen eMail-Adressen manuell freischalten muss? Sollten nicht so viele legitime Nutzer sein, die dadurch eventuell ein bisschen auf Freischaltung warten müssten.


Ach ja... Idee - gibt es vielleicht schon? Zusätzlich zum Bot-Schutz (Captchas) ein bisschen "discouragement" einbauen: Der Server schickt mit der "neuer Account"-Website eine "Aufgabe" mit, die vom Client gelöst werden muss. Die Aufgabe zu erstellen muss leicht sein - z.B. einen Hash berechnen - aber die Aufgabe zu lösen schwierig - also z.B. einen Hash zu knacken.

Ein Mensch brauch eh 20-30 Sekunden, um seinen Namen, eMail-Adresse etc einzutragen, die AGB zu lesen... In der Zeit löst der Browser im Hintergrund die Aufgabe.

Wenn jetzt jemand massiv viele Seiten zuspammt, muss er erstmal viel mehr für Strom zahlen, und gleichzeitig gibt es einen gewissen Delay zwischen allen 2 Anmeldungen....

Hm, gut, Mobile-Nutzer könnten sich dann so gut wie nirgendwo mehr anmelden..... ;)
 

lano

Well-Known Member
c-b Experte
#15
muss er erstmal viel mehr für Strom zahlen
Ach her je.

Der Server schickt mit der "neuer Account"-Website eine "Aufgabe" mit, die vom Client gelöst werden muss. Die Aufgabe zu erstellen muss leicht sein - z.B. einen Hash berechnen - aber die Aufgabe zu lösen schwierig - also z.B. einen Hash zu knacken.
Seti@home, wer den ersten Außerirdischen findet darf sich anmelden :)

Mir fällt da grad auch nix zu ein außer ips zu sperren.
Wie schnell werden denn die Accounts erstellt? 10 in 30 sek ?
 

-AB-

Well-Known Member
c-b Team
c-b Experte
#16
Naja, muss sich ja rechnen. Wie viel ist so ein Werbelink wert? Nen halben Cent vielleicht. Wenn man das gleich als Stromkosten wieder ausgibt, funktionierts schon nicht mehr, und die Leute verschicken lieber wieder Spam-Mails...

Wie schnell werden denn die Accounts erstellt? 10 in 30 sek ?
Zum Glück (oder leider?) nicht. Vermute, dann würde irgendwo ein DOS-Schutz anspringen. Alle 5 Minuten einer, würde ich sagen. Ich mein ja auch eher, dass es eine allgemeine Lösung sein sollte, die jedes Forum zusätzlich zum Captcha einbauen sollte. Wenns nur eins macht, bringt es nicht mehr als ein 30-Sekunden Delay.

Das hier wird vermutlich ein armer "Freelancer" in Russland sein, der sich ein Script geschrieben hat, welches einen Mailaccount anlegt, diesen in X Foren anmeldet, und dann den Router neu startet, um eine neue IP zu bekommen. Daher die X Minuten Delay zwischen 2 Anmeldungen. Das, oder tatsächlich klug berechnet einen Delay eingefügt, um eventuelle DOS-Protection nicht zu aktivieren.
 

lano

Well-Known Member
c-b Experte
#17
Daher die X Minuten Delay zwischen 2 Anmeldungen.
Die IP sollte ja gespeichert sein. so wie ich Jan verstanden habe scheint sie zu wechseln, ob jedes mal ist ne andere frage, aber der provider scheint wohl relativ gleich zu bleiben.

vermutlich ein armer "Freelancer"
Das hat doch schon mal Vorteile.

der sich ein Script geschrieben hat,
Das wäre auch meine Idee. Die frage wäre dabei, wie könnte man ihn dazu bringen jedes mal sein script anpassen zu müssen.
Dynamische Variablennamen, divs und was weiß ich nicht. Kenn mich da nicht aus.

Problem wird sein. Wieviel muss man an der Forensoftware rumfuschen.

Generell finde ich deine Idee/Grundgedanke aber nicht schlecht. Hast du das schon mal weiter gedacht ?

Ich würde ja sagen es fehlt an etwas das nur ein Mensch vollbringen kann. Logisches denken oder so.
 

-AB-

Well-Known Member
c-b Team
c-b Experte
#18
Dynamische Variablennamen, divs und was weiß ich nicht. Kenn mich da nicht aus.
Fürchte, die Scripts sind da heute ausgefeilt genug. Vermutlich läuft tatsächlich ein Browser-Backend, dass eben auch JavaScript etc. ausgeführt wird, und man per Script "in das Textfeld" seinen Namen einträgt, egal, wie es heißt.

Problem wird sein. Wieviel muss man an der Forensoftware rumfuschen.
Jop. Keine Ahnung. Externe Captchas kann man sicher über ein Plugin laden, das sollte sich ausbauen lassen.

Generell finde ich deine Idee/Grundgedanke aber nicht schlecht. Hast du das schon mal weiter gedacht ?
Naja, Bitcoin erzeugt auf diese Weise den "Wert" des Währung. Sprich: Es kann (noch) mehr Geld erzeugt werden (Mining) - aber das kostet Rechenzeit/Geld. Die Frage ist tatsächlich nur - können wir es Mobile-Nutzern zumuten, dass ihre Phones 10 Minuten an dieser Aufgabe rumwerkeln, die auch noch ihre Akkus leert? Alternativ könnte man Mobilnetz-Kunden direktes Login ermöglichen, wenn sie ihre Nummer eingeben und eine SMS bestätigen. (Die Nummern kann man dann blacklisten.) Soweit ich weiß ist es immer noch schwieriger, Mobilnummern zu faken als eMail-Adressen. und wer seine Privatsphäre bewahren will, setzt sich halt an den Rechner.

Ich würde ja sagen es fehlt an etwas das nur ein Mensch vollbringen kann. Logisches denken oder so.
Wobei sich ja auch genug echte Menschen anmelden und Werbung posten. Seh ich in Foren immer wieder, 5-6 "normale" Einträge, meist Antworten auf alte oder Offtopic-Beiträge, dann einer mit Werbelink - oder die Werbung später in die Signatur aufnehmen oder in ältere Beiträge reineditieren.
 

lano

Well-Known Member
c-b Experte
#19
läuft tatsächlich ein Browser-Backend
Ich habs befürchtet. Es sollte wohl auch da Wege geben.

Wie funktioniert das. Einmal alle Möglichkeiten manuell benennen damit das script läuft, oder das script das captcha anzeigen lassen und immer manuell lösen.
das sollte sich ausbauen lassen.
Das würde ich auch als Schwachpunkt sehen, da muss was besseres her.

mehr Geld erzeugt werden (Mining)
Das hab ich neulich erst mal nachschlagen müssen wie das läuft. Gabs hier son Miner zu kaufen, dachte den könnt man ggf zweckentfremden.
Bin ich aber kein freund von.
In Zeiten von ÖkoStrom sollten solche Konzepte nochmal überdacht werden.

echte Menschen anmelden und Werbung posten
Auch ein Punkt den man sicher lösen könnte.
Frage ist nur ob die Forensoftware das her gibt oder ob sich jemand finden lässt der eiin plugin schreibt.
Man könnte es zB abhängig machen von den Erfolgspunkten oder so.
Erst dann lassen sich Links Posten.
Oder Sachen im Profil hinzufügen.

Aber ist das alles den Aufwand wert?

Lässt sich das nicht ggf alles noch recht einfach weg administrieren?
 

-AB-

Well-Known Member
c-b Team
c-b Experte
#20
In Zeiten von ÖkoStrom sollten solche Konzepte nochmal überdacht werden.
Joa, aber es ist halt eine Möglichkeit, um digitalen Daten irgendwie einen Wert zu verleihen - Zertifikate machen nur Sinn, weil man sie nicht einfach fälschen kann, usw. Das alles läuft darauf zurück, dass man eben jede Menge Rechenleistung investieren müsste, bis zu dem Punkt, wo es vielleicht noch nicht unmöglich, aber ökonomisch unsinnig ist.

Lässt sich das nicht ggf alles noch recht einfach weg administrieren?
Naja, seit meinem letzten Post waren es wieder 21 Anmeldungen. Davor waren es heute so um die 50, schätz ich. Irgendwann läuft der Google-Crawler drüber, und nimmt die Links in den Index auf - wobei wir vielleicht Nutzerprofile noch ausschließen können. (Unsere Links zu deren Seiten verbessern deren Page Ranking, und verschlechtern unseres.)

kA wie lang das noch geht, wär schon froh, wenn da ein paar IPs mal gesperrt werden könnten.

//edit: 22.

//edit: 24.
 
Zuletzt bearbeitet:
Oben