Pareto
ww-birnbaum
Heute ist ein Bot durchs Forum gerauscht...
Was ist denn hier passiert?
- Ersteller Pareto
- Erstellt am
agnoeo
ww-robinie
Mods schlafen wohl noch
SchweißerSchnitzer
ww-robinie
So ne Frechheit 
Manche sogar mit passendem Profilbild. Das ist doch krank.
Manche sogar mit passendem Profilbild. Das ist doch krank.
...nein, gestern schon einmal.
Deine Empörung wird die Spamer sicher nachhaltig beeindrucken.
@michael
@yoghurt
@carsten
Als erste Maßnahme würde ich schnellstmöglich in der Konfiguration dafür sorgen, dass neuregistrierte Mitglieder erst nach Bestätigung der Mailadresse schreiben dürfen. Das scheint momentan leider nicht so zu sein. Dafür spricht zumindest, dass es nicht nur viele Spam-Postings sind, sondern dass die von einem ganzen Rudel spamender "Neumitglieder" kommen
Wenn das nicht hilft, würde ich temporär die Registrierung schließen.
Als wirkliche Maßnahme muss dann jemand an die Captcha-Lösung ran. Diese albernen Worträtsel schafft man mit AI-Hilfe - ich habe mal schnell zu Fuß einen kleinen "Hausfrauentest" gemacht - zu fast 100 Prozent.
Nachdem unlängst ein AI basierter Bot sogar Cloudflares Turnstile, also eine auf Verhaltensanalyse basierende Captchalösung, nahezu mühelos bestand... und das ironischerweise sogar selbst kommentierte „Der Link ist eingefügt, also klicke ich jetzt auf die ‚Verify you are human‘-Checkbox, um die Verifizierung auf Cloudflare abzuschließen. Dieser Schritt ist notwendig, um zu beweisen, dass ich kein Bot bin und mit der Aktion fortfahren kann.“
wird es in dem Bereich ohnehin endlich etwas mehr Bewegung geben müssen.Die "Worträtsel-Captchas" sind ja allerdings wirklich auch die kleinste Hürde, die Xenforo im Portfolio zu bieten hat. Honeypot einzuschalten könnte zumindest temporär wirksam sein. Ein richtiger AI basierter Bot, also keiner, der nur bei Fragen etc. die AI anzapft, tappt natürlich auch nicht in diesen Fettnapf.
PS: Meinen neuen Account "spam" bitte löschen.
Hallo
Danke für das Mitgefühl. Aufwand hält sich aber bei sowas in Grenzen
Danke für das Mitgefühl. Aufwand hält sich aber bei sowas in Grenzen
agnoeo
ww-robinie
ist halt lästig 30 Sekunden zwischen den Meldungen warten zu müssen, aber auch verständlich, dass das wiederum kein Spammer als Werkzeug verwendet
agnoeo
ww-robinie
Das hört ja gar nicht mehr auf, ist das hier keine Option?
Hallo
hab michael ne SMS geschrieben ob er erst mal die Neuanmeldung Registrierung von usern deaktivieren kann
hab michael ne SMS geschrieben ob er erst mal die Neuanmeldung Registrierung von usern deaktivieren kann
Hallo
Cheffe hat Vollzug gemeldet. Es sollten also erst mal keine wilden Spammer mehr einfallen. Ne Lösung wird sich auch finden.
Cheffe hat Vollzug gemeldet. Es sollten also erst mal keine wilden Spammer mehr einfallen. Ne Lösung wird sich auch finden.
Hallo
ich werde verrrückt die haben sich offensichtlich sogar auf Vorrat registriert. Der letzte eben registriert 6.9.25
naja auch die werden wir gelöscht bekommen.
ich werde verrrückt die haben sich offensichtlich sogar auf Vorrat registriert. Der letzte eben registriert 6.9.25
naja auch die werden wir gelöscht bekommen.
Moin zusammen,
kurzes Update zur aktuellen Spam-Situation. Ich hab jetzt noch mal alles durchgeschaut und die Accounts sind soweit alle gebannt.
Neue Nutzer können sich momentan erst mal nicht anmelden.
Danke für die ganze Arbeit von Carsten und Heiko, die heute Morgen und gestern schon sehr fleißig den ganzen Spam gebannt haben.
Es gab auch einige automatische Bannungen, aber warum trotzdem welche durchgekommen sind, muss ich noch genauer untersuchen.
Was bisher schon immer im Hintergrund lief.
Die Überprüfung neuer Registrierungen läuft über Spam-Datenbanken und auch DNSBL "Projekt Honeypot" ist aktiviert. Da wird alles drüber geprüft.
Wegen der DSGVO verwende ich aktuell nur ein einfaches Frage-Antwort-Captcha. Das hat bisher eigentlich immer gut funktioniert und wir konnten den Spam größtenteils fernhalten. Jetzt sind sie zum ersten Mal richtig durchgebrochen.
Was ich als nächstes mache
Ich suche nach anderen Lösungen und werde auf jeden Fall ein stärkeres Captcha einbauen.
Was mich verwirrt. Die Mailadressen müssen nach der Registrierung bestätigt werden. Das ist schon immer Standard bei uns im Forum. Wie die das hinkriegen, ist mir ehrlich gesagt ein Rätsel.
Falls ihr noch irgendwelchen Spam seht, drückt einfach auf "Spam melden", damit wir eine Meldung bekommen und die User schnellstmöglich bannen können.
Danke fürs Mitdenken und Mithelfen, dass wir solche Sachen von uns fernhalten!
Ich bleibe dran und führe die Tage ein neues Update durch und halte euch auf dem Laufenden.
Gruß Michael
kurzes Update zur aktuellen Spam-Situation. Ich hab jetzt noch mal alles durchgeschaut und die Accounts sind soweit alle gebannt.
Neue Nutzer können sich momentan erst mal nicht anmelden.
Danke für die ganze Arbeit von Carsten und Heiko, die heute Morgen und gestern schon sehr fleißig den ganzen Spam gebannt haben.
Es gab auch einige automatische Bannungen, aber warum trotzdem welche durchgekommen sind, muss ich noch genauer untersuchen.
Was bisher schon immer im Hintergrund lief.
Die Überprüfung neuer Registrierungen läuft über Spam-Datenbanken und auch DNSBL "Projekt Honeypot" ist aktiviert. Da wird alles drüber geprüft.
Wegen der DSGVO verwende ich aktuell nur ein einfaches Frage-Antwort-Captcha. Das hat bisher eigentlich immer gut funktioniert und wir konnten den Spam größtenteils fernhalten. Jetzt sind sie zum ersten Mal richtig durchgebrochen.
Was ich als nächstes mache
Ich suche nach anderen Lösungen und werde auf jeden Fall ein stärkeres Captcha einbauen.
Was mich verwirrt. Die Mailadressen müssen nach der Registrierung bestätigt werden. Das ist schon immer Standard bei uns im Forum. Wie die das hinkriegen, ist mir ehrlich gesagt ein Rätsel.
Falls ihr noch irgendwelchen Spam seht, drückt einfach auf "Spam melden", damit wir eine Meldung bekommen und die User schnellstmöglich bannen können.
Danke fürs Mitdenken und Mithelfen, dass wir solche Sachen von uns fernhalten!
Ich bleibe dran und führe die Tage ein neues Update durch und halte euch auf dem Laufenden.
Gruß Michael
SchweißerSchnitzer
ww-robinie
Vielleicht kann man für so n Scheiß auch einfach eine Horde echter Menschen irgendwo buchen. Die können dann für n Hungerlohn auch brav E-Mail-Adressen bestätigen.
Ich bin mir eigentlich ziemlich sicher, dass genau das heute früh nicht der Fall war, als ich mal testweise den Account mit dem schönen Benutzernamen "spam" registriert habe?!
Auch das Aufrufen eines individuellen Links zur Registrierungsbestätigung wäre mit etwas Aufwand automatisierbar, zumindest spezifisch für einzelne - lohnende - Angriffsziele wie bspw. ein konkretes System, wie eben eine weitverbreitete Forensoftware, Cms etc.
Letztlich wird's wohl aufs gleiche Hase-und-Igel-Wettrennen hinauslaufen, wie man das schon seit einigen Jahren beim Mailversand beobachten kann. SPF, DKIM, DIMARC, what's next?
Ich finde das ein total spannendes Feld in Zeiten, in denen die Luft für den in Ehren ergrauten Turingtest - dessen "t" ja nicht umsonst Bestandteil des Acronyms "Captcha" ist - angesichts der AI-Entwicklung zunehmend dünner wird.
Googles reCaptchaV2 - mit den sattsam bekannten Bildchen - wurde letztes Jahr schon ziemlich bravourös von der AI gelöst. Dieses Jahr vor wenigen Wochen jetzt also Cloudflares Turnstile, was ja vor allem auf eine Verhaltensanalyse setzt, bevor es dann auch einmal Bildchen anzeigen würde.
Deutsche Behörden haben's da einfach, die setzen einfach die eID des Persos voraus.
Wo soll denn da die Lösung sein? Mailadressen lassen sich automatisch anlegen, auslesen, Mails beantworten…
Mit einem eigenen Mailserver in Sekunden Tausende.
2FA bei der Anmeldung dürfte eine Hürde sein. Mehrfachangaben von Telefonnummern untersagen.
...wann hast Du zum letzten Mal so eine Lösung programmiert? Frage für 'nen interessierten Freund.
Ich habe ja geschrieben, dass das durchaus möglich wäre. Der Aufwand lohnt sich imho aber nur, wenn man damit eine Vielzahl identisch funktionierender Angriffsziele bedienen kann. Und dann ist die schöne Lösung mit etwas Pech auch schnell verbrannt.
Wenn ich mir daheim einen Mailserver aufsetze? Kein Problem. Ich sag mal so - wenn ich eh Illegales damit vorhabe, ist es den Aufwand doch wert..wann hast Du zum letzten Mal so eine Lösung programmiert? Frage für 'nen interessierten Freund.
...ich meine schon einen vollständigen Automatismus, der Benutzerkonten registriert und die daraufhin irgendwann eintrudelnde OptIn-Mail ausliest und die Registrierung des zugehörigen Kontos bestätigt. Dabei natürlich berücksichtigt, dass man freilich unterschiedlichste Maildomains benutzen sollte, IP-Adressen wechseln und unregelmäßige Zyklen einhalten sollte... Also, um nur ein paar Sachen zu nennen, die man im Hinterkopf behalten müsste, wenn der Aufwand sich lohnen soll...
Für das Spammen von Foren? Ich glaube nicht das XenForo oder Bulletin und Konsorten bei gleicher IP und verschiedenen Mailadressen meckern würden.
