Fail2Ban Reporting Service

Blocklist ist in erster Linie auf Mails von Fail2Ban zugeschnitten und zwar für die Mails, welche über die Aktion „sendmail-whois-lines“ versendet wurden.

In diesen Mails, steht der Dienst, die Whoisausgabe (optional) und dann die Logfiles. Wenn wir in den Mails die Whois-Daten finden, verwenden wir diese, ansonsten führen wir eine Whois-Abfrage aus und cachen diese.

Wenn wir allerdings für ein ASN/IP-Range bereits eine eigene Adresse vom z.B. Cert oder von dem zuständigen Abuse-Team direkt erhalten haben, nehmen wir sofort die eingetragene Adresse.

Ansonsten parsen wir die Whois-Daten und prüfen auf folgende Felder:

• Abuse-Mailbox
• **AbuseEMail (und ähnliche ARIN-Schreibweisen)
• Abuse-C-Feld und dort „Mail“
• irt-nfy
• Tech-EMail
• Tech-Contact
• Trouble-/Remarks-Feld mit der Suche nach abuse*@, security@, csirt@, reportsto,

Sollten wir darin nicht fündig werden, so prüfen wir den RIPE-Abuse-Finder und cachen dessen Ergebnisse ebenfalls zwischen.

Sollte auch der Abuse-Finder keine Adresse gefunden haben, so prüfen wir die Contact-Datenbank von abusix.org. Sollten wir von dort auch kein Ergebnis erhalten, so geht der Report an uns zum manuellen prüfen.

Dies kommt eigentlich nur vor, wenn z.B. uralte Einträge existieren, wo keine Instanz eine Adresse hat. Diese haben dann nicht mal auf dem Hostnamen des Providers/Gateways eine Kontakt-Adresse und abuse.net hat ebenfalls nichts.

Diese Reports können wir dann natürlich nicht zustellen.

Wir haben uns auch schon eigene Whois-Server angeschaut um die Daten nicht über die Whois-Server der Registrys einzeln abzufragen, sondern z.B. per FTP zu syncen, allerdings waren dort nie die korrekten Adressen drin oder aufgrund der Richtlinien nicht im FTP-Data enthalten.

Wie entstehen die Spam-URLs, die in verwaiste Foren, Wikis, Gästebücher und Blogs gepostet werden?

Durch Spambots wie etwa XRumer oder SENuke werden große Linklisten, die verwaiste Foren enthalten angesurft. Sobald der Bot eine Möglichkeit gefunden hat, einen Post abzusetzen oder einen Benutzer zu registrieren versucht er, einen vom Admin des Bots vordefinierten Link hineinzuposten um so die Suchmaschinenergebnisse der Seite zu verbessern. Oftmals werden auch die Links der Posts, die der Bot erstellt hat in andere verwaiste Foren gepostet um auf diese Weise noch mehr Suchmaschinenbots auf die Inhalte zu locken, da diese den Links folgen.

Die Bot-Admins verwenden hierbei oft Proxies um so Blacklistings zu umgehen und die Erfolgsquote ihrer Spambots zu erhöhen, daher sind einfache IP-Sperrungen oftmals nicht empfehlenswert, da diese sehr leicht umgangen werden.

Es ist daher wichtig, Anti-Bot Maßnahmen in die Webanwendungen einzubauen wie etwa Anti-Bot-Fragen, da normale Captchas bis hin zum bekannten reCaptcha bereits von Spambots ausgelesen werden können und daher nahezu keinen Schutz vor unauthorisierten Anmeldungen oder Spampostings mehr bieten. Wichtig ist es auch, falls es bereits zu Spam in einer Webanwendung gekommen sein sollte, die entsprechenden Postings oder Benutzer zu entfernen, da diese der Reputation der Website nachhaltigen Schaden zufügen können.

Insbesondere bei automatisch registrierten Benutzern sollte überprüft werden ob diese Links in ihrer Signatur oder dem „Webseite“-Feld im Benutzerprofil angeben, da auch dort sehr häufig Spamlinks hinterlegt werden.

Ein hilfreiches Portal, bei dem zahlreiche Anti-Bot Maßnahmen und Plugins entwickelt wurden und Hilfestellung gegen Spam in Foren, Wikis oder Blogs gegeben wird ist http://stopforumspam.com. An dieses Portal gibt www.blocklist.de auch die Reg-Bots, IRC-Bots und BadBots weiter, die blocklist erhält um die Information zu teilen und die User vor Foren-Spam zu schützen.

Autor: Matthias