In diesem September sind zwoelf Edelarmbanduhrkopien im Ausverkauf. Sie koennen eine Business sogar morgen kriegen zustellung und nur hundert euro dafuer ausgeben.
Ach, im September erst. Das ist ja noch 229 Tage hin, da kann ich die Mail auch einfach löschen – denn eure über redir.ec maskierte Dreckssite wird es im September gewiss nicht mehr geben, die ist morgen schon weg. Spätestens.
Ich habe in den letzten Tagen immer wieder einmal Spamkommentare einer ganz besonderen Machart gehabt. Diese Spams sind – wenn man so ein Wort für Spam überhaupt benutzen mag – intelligenter als das gegenwärtig überwiegende Vollkleistern der Kommentare mit irgendwelchen Texten, und sie können, wenn das Verfahren der Spammer noch etwas verbessert, auch schwierig als Spam zu erkennen sein.
Symptom
Ein „Kommentar“ wurde abgegeben, der einem bekannt vorkommt. Und in der Tat, wenn man etwas sucht, findet sich, dass genau der gleiche Kommentar vor einigen Wochen schon einmal als echter Kommentar eines Lesers abgegeben wurde. An dieser Stelle hatte der Kommentar auch einen Bezug zum kommentierten Text, was bei seiner Zweitverwertung nicht mehr der Fall war.
Geändert hat sich die angegebene Mailadresse und natürlich die angegebene „Homepage“ des Kommentators, denn diese soll den Spamlink platzieren. Der Link führt auf typische „Angebote“ der Spammer, vom Casino über den Scareware-Schocker (ihr PC ist infiziert!) bis hin zum Betrugsapotheker. Manchmal wird der ursprünglich angegebene Name des Kommentators beibehalten, manchmal auch nicht. Allzu plumpe SEO-Keywords für Google werden zurzeit vermieden.
Spekulationen
Offenbar bemerken im Moment auch die Spammer, dass ihre plumpen und oft idiotischen Skripten kaum noch durch die Spamfilter kommen. Leider bedeutet das für einen Spammer nicht, dass er sich hinsetzt und sich überlegt, wie er sich auf weniger asoziale Weise seine Brötchen verdienen könnte, sondern er denkt darüber nach, wie er denn in Zukunft anderer Leute Websites zu Linkschleudern auf seine kriminellen Angebote umbauen kann.
Also hat sich einer dieser Spammer einen neuen Bot geschrieben. Dieser holt sich Kommentare, die schon einmal als Kommentare „durchgekommen“ sind – eine Möglichkeit, dies zu tun, ist etwa ein RSS-Feed für Kommentare und kommentiert mit diesen Texten einfach noch einmal in dem Blog, in dem sie schon einmal „durchkamen“. Davon verspricht sich der Spammer, dass er höhere Chancen hat, von einem Dienst wie Akismet nicht automatisch als Spam erkannt zu werden und vielleicht auch beim Betreiber des Blogs durchzukommen.
In jedem Fall ist festzustellen, dass Spammer zurzeit ein Skript zu benutzen scheinen, um systematisch echte Kommentare in Blogs zu sammeln, um die nächste Generation der Kommentarspam vorzubereiten.
Ausblick
Im Moment ist die Spam mit alten Kommentaren noch primitiv. Zum Beispiel gibt es nicht einmal eine oberflächliche Analyse des kommentierten Textes, so dass der „Kommentar“ in der Regel einfach nicht passt. Das löst natürlich Misstrauen aus, wenn so eine Spam doch einmal durch den Spamfilter kommt.
Das kann allerdings besser gemacht werden, und die einfachsten Verbesserungen wären sehr wirkungsvoll und sind darüber hinaus eine schnell zu programmierende Sache. Wenn etwa die Kategorien und Schlüsselwörter (neudeutsch: Tags) zu einem kommentierten Artikel ausgewertet würden, die ja freundlicherweise von vielen Bloggern gesetzt werden und in technisch leicht auswertbarer Weise zur Verfügung stehen, denn können derartige Kommentare so „gelegt“ werden, das sie häufiger thematisch passen. Diese Verbesserung ist nicht schwer zu implementieren, und sie erfordert auch nicht, dass Text in einer natürlichen Sprache mit seinen vielen Unschärfen durchgeparst werden muss; es ist eher eine kleine Fingerübung. Vermutlich werden auch die Spammer darauf kommen, wenn sie an künftigen Verbesserungen arbeiten.
Eine weitere Schwäche des derzeitigen, primitiven Standes dieser Vorgehensweise ist es, dass die Kommentare im gleichen Blog „recycelt“ werden, in dem sie schon einmal als echte Kommentare erschienen. Bei einem Blog mit geringem Kommentaraufkommen fällt das dem Betreiber auf und erweckt starkes Misstrauen. Dies gilt vor allem im Moment, denn die bei mir zum Spammen missbrauchten Kommentartexte sind niemals älter als zwei Monate gewesen – so alt scheint auch das Skript ungefähr zu sein, mit dem die Kommentare abgegrast wurden (und vermutlich noch werden). Wenn die Verbesserung mit der Verwendung der Kategorien und Schlagwörter programmiert wird, können derartige Kommentare durchaus auch in anderen Blogs gesetzt werden, und dann werden die Kommentartexte oft recht natürlich wirken, so dass nur der gesetzte Link den Spamcharakter des Kommentars verrät. Dieser Link (neben der IP-Adresse des spammenden Bots) verbleibt dann auch als einziges Spammerkmal für einen Spamfilterdienst wie Akismet. Die Filterung von Spam und ihre Erkennung durch einen menschlichen Leser wird also in Zukunft erschwert. Darüber hinaus kann die an Akismet weitergeleitete Spam-Einordnung derartiger Kommentare zur Folge haben, dass in der nächsten Zeit vermehrt echte Kommentare fälschlich als Spam erkannt werden.
Abhilfe
Es scheint fast, als könnte sich die relativ bequeme Zeit einer deutlich über 99%igen Spamerkennung durch Akismet dem Ende zuneigen. Aber natürlich heißt das nicht, dass die Spammer schon gewonnen hätten, sie machen uns allen nur das Leben schwerer. Die folgenden technischen Abhilfen sind selbst dann noch möglich, wenn Akismet signifikant unzuverlässiger wird:
Vielleicht ein WordPress-Plugin?
Eventuell werde ich mich in den nächsten Tagen (realistische Leser denken hier: Wochen) mal ans Schreiben eines Plugins machen, das in zwei Zusatzfeldern im Kommentarformular voneinander abhängige Informationen transportiert, die nur anhand eines im Blog hinterlegten (und nach einem Angriff leicht zu änderdem) Geheimschlüssels überprüft werden können. Damit könnten einfache Bots ausgesperrt werden. Das grundsätzliche Verfahren sieht so aus.
Leider hat auch diese Idee einen Nachteil: Nichts hält einen Spambot davon ab, ebenfalls das gesamte Formular anzufordern und diese beiden Felder ebenfalls zusammen mit dem Spamkommentar abzusenden. Bislang sind die meisten Spambots „dumm“, aber das kann sich ändern, wenn bestimmte Abwehrmaßnahmen Verbreitung finden. Die Möglichkeit, dass die Artikelseite wegen der bescheidenen WordPress-Performanz optional auch aus einer Cache-Datei ausgeliefert werden könnte, macht es leider unmöglich, im Hash für das Kontaktformular die IP-Adresse des Lesers zu verbauen und beim Kommentar zu prüfen, was übrigens auch keine völlig Sicherheit geben würde. Eine sichere Abwehr von Kommentarspam scheint mir unmöglich, wenn sie ohne JavaScript funktionieren soll.
Wenn jemand eine gute Idee hat: Immer nur her damit!
Oh, lange kein Phishing mehr gehabt. Aber in der Spam kommt eben alles einmal wieder, und sei es die dümmste Betrugsmasche mit den dümmsten Texten.
Es gibt doch hoffentlich niemanden, der glaubt, dass so eine Kombination aus flottem HTML-Design, der einfallsreichen Anrede „Hallo Gast Visa Europe“ und recht kreativem Deutsch im Nachrichtentext wirklich von Visa kommen könnte:
Diese Leute haben sich nicht nur „tous droits rйserves“, sondern auch zwei Grafiken von Webshops extern eingebettet – im Screenshot nicht sichtbar, weil ich niemals externe Grafiken in einer Mail nachlade – weil es ihnen völlig egal ist, wenn anderer Menschen Webserver unter der so erzeugten Last durch ein paar Millionen Spammails zusammenbrechen. Das ist ja schließlich „nur“ das Geschäft, von dem andere Leute leben wollen.
Klar, dass ein Klick auf „Klicken Sie hier“ – übrigens der mit Abstand dümmste Text, um einen Link unterzubringen – nicht etwa auf eine Visa-Website führt, sondern in diesem Fall auf die Wegwerfseite user31433 (punkt) vs (punkt) easily (punkt) co (punkt) uk. Wer darauf geklickt hat und angesichts der Internetadresse nicht skeptisch geworden ist, wird die Gelegenheit erhalten, asozialen Verbrechern den Zugriff auf seine Kreditkarte zu gewähren. Und die werden etwas damit anfangen können, was dem Besitzer der Karte gar nicht gefallen kann.
Die tolle Idee der neuen Twitter-Spammer, nicht mehr blind möglichst vielen Leuten zu folgen, sondern vielen Twitter-Nutzern jeweils einzeln eine unerwünschte Nachricht direkt als @-Antwort zukommen zu lassen…
…führt zu interessanten Profilen. Kein Mensch könnte so viel twittern wie diese hirntot programmierten Spambots, die allein deshalb nicht allzuviele Follower haben, weil niemand gern in solchen Fluten ertrinken mag:
Sportlich, sportlich gehts der Millionen-Tweets-Marke entgegen – und gut, dass das kein Mensch ist, denn der würde wohl unter rauchenden Twitterfingern leiden.
Ist es nicht schön, dass die gleichen Leute, die mir immer diese tollen Tabletten zur Erhöhung und Verlängerung der Penissteife verkaufen wollen…
Betreff: elias VIAGRA � Official -72%
Click here <http://viagra.com.elias.sordoctor.com/>
…auch – wie an der doch verblüffend ähnlichen Formatierung der Drecksmails deutlich wird – daran denken…
Betreff: elias, 65% off on all soft.
Click here <http://softwarestoredigital-1.ru>
…dass ich Software brauche. So bekommt man doch alles aus einer Hand. Oder besser: Man bezahlt alles in eine Hand und kann mal schauen, was man dafür bekommt.
Ganz großes Kino, Spammer!
Und ich dachte in den letzten Tagen schon, der Mailserver wäre kaputt, weil es so wenig Spam gab. Aber nein, die Spammer haben sich nur hingesetzt und sich gefragt: Wie können wir unsere Betrugsnummern noch blöder und offensichtlicher machen? Wie können wir die so doof machen, dass wirklich jeder bemerken muss, mit was er es bei uns zu tun hat?
Dazu passt übrigens auch, wie die Website des rabattfreudigen russischen Softwarehändlers nur ein Viertelstündchen nach Eingang seiner Mail in einem ganz normalen Firefox aussah:
Tja, schlechte Zeiten für die Verbrecher.
Na, fällt deinem hingestümperten Betreffgenerator nicht ein, was du da forwarden willst, Spammer? Mal schauen, was du zu sagen hast:
Bill John
Nun, das ist eine sehr kurze „Nachricht“, die überdem den Vorteil einer erfreulichen Bedeutungslosigkeit hat. Um mir das zu sagen, hast du doch nicht etwa ein ganzes Botnetz zum Spammen, oder?
Ah, da hängt ja noch ein Anhang dran. Ein Bild mit dem hochgradig originellen Namen img.gif:
Ah, jetzt weiß ich, was du mir sagen willst. Du hältst mich und die paar Millionen anderen Empfänger deiner tollen Botschaft für Idioten, die in so einer Mail herumklicken, dann aber nicht in der angehängten Grafik klicken, sondern die darin angegebene Adresse abtippen, weil sie angesichts dieser überwältigenden Gestaltung deiner Strunzpost unmittelbar von der Seriosität deines Angebotes überzeugt sind.
Und dich selbst hältst du wohl für einen, der mit solchen ganz tollen Tricks aus dem Spam-Proterozoikum auch noch durch die Spamfilter durchkommt.
Nun, es mag dich ja enttäuschen, aber du hast dich gleich zweimal geirrt…
Was herauskommt, wenn fragwürdige Gestalten die Indizes der Suchmaschinen manipulieren, kann man frisch (und in englischer Sprache) im Blog von wpmu.org nachlesen.
Das Problem
Siobhan Ambrose gab einfach nur den Suchbegriff „free WordPress themes“ in Google ein und schaute sich einmal an, was in den Themes der ersten zehn Treffer an fragwürdigem Code enthalten ist – mit folgendem Ergebnis:
wordpress.org.Kurze Zusammenfassung: Die Suche „free WordPress themes“ in Google liefert überwiegend gefährliche, aufdringlich nach Spam und Bloghack schmeckende Ergebnisse schon auf der ersten Ergebnisseite. Ein naiver Benutzer, der sich auf Google verlässt, ist verlassen und verwandelt sein selbstgehostetes WordPress-Blog in eine Spamschleuder oder stellt gar seinen Webspace Gestalten zur Verfügung, die in meinen Augen besser mit einer Gefängniszelle bedient wären. Ein „hübscher“ Beleg für die Tatsache, dass Google für Produkt-Suchen aller Art völlig nutzlos geworden ist.
Was tun?
Was soll nun aber ein interessierter Blogger machen, der gern ein hübsches Theme hätte, wenn er sich nicht einfach „schnell“ eines selbst machen kann. Die wenigsten Menschen werden Lust haben, nur für diesen einen Anwendungsfall PHP, CSS und HTML in der erforderlichen Breite zu lernen – man hat ja auch noch ein „richtiges Leben“. Ein nützliches Feature von WordPress, nämlich die einfache Anpassung des Designs durch das Hochladen und Aktivieren eines fertigen Themes, ist nutzlos geworden, weil das Angebot von Verbrechern und fragwürdigen SEO-Idioten überflutet wird, die über dieses Einfallstor Schadsoftware und Spamlinks auf private Websites bringen. Ein weiterer Schaden der Spam an einer Stelle, wo zunächst derartige Schäden gar nicht vermutet würden.
Nun, guter Rat ist gar nicht so einfach.
Wer sich bei seiner Theme-Suche auf offizielle WordPress-Sites beschränkt, ist auf einer relativ sicheren Seite. Die Themes, die bei wordpress.org oder bei WordPress Deutschland angeboten werden, haben eine breitere Nutzergemeinde, und sollte es dort einmal jemanden gelingen, ein „verseuchtes“ Theme hochzuladen, so ist die Wahrscheinlichkeit hoch, dass ein derartiger Missbrauch schnell erkannt und in offener Diskussion erörtert wird, was zum schnellen Entfernen des dreisten Versuches führen würde.
Doch selbst an solchen Stellen ist eine gewisse Aufmerksamkeit angemessen. Ein WordPress-Theme ist immerhin ein Stück Software, mit dem es einem anderen, in der Regel relativ anonym bleibenden Menschen ermöglicht wird, Code auf einem Webserver auszuführen. Diese Möglichkeit ist für Verbrecher und Spammer ausgesprochen attraktiv – es können Anmeldedaten ausgespäht, Links gesetzt, illegale und kriminelle Downloads angeboten und sogar gebloggte Text nachträglich verändert werden, wenn es gelingt, Bloggern ein verseuchtes Theme unterzujubeln. (Genau das gleiche gilt übrigens auch für Plugins, aber hier werden die meisten Menschen aufmerksamer und deshalb weniger geneigt sein, ein Plugin aus „irgendeiner“ Quelle zu verwenden.) Letztlich ist es eine Design-Schwäche von WordPress, dass Themes aus ausführbarem Code bestehen, und jeder WordPress-Anwender muss mit dieser Schwäche leben.
Um etwas selbstverantwortliches Handeln kommt also niemand herum. Das ist die wohl allgemeinste Aussage, die in Bezug auf Spam getroffen werden kann. Einfache, automatisiche Verfahren zur Erkennung fragwürdiger Themes – es gibt derartige Plugins – können nur eine Ergänzung sein und sind insofern gefährlich, als dass sie ein trügerisches Gefühl von Sicherheit erzeugen können. Natürlich kennen die Halunken, die einem Blogger ein Spam-Theme andrehen wollen, diese Plugins auch und werden gegebenenfalls nach Lücken in den automatischen Scans suchen, sollten derartige Plugins jemals eine größere Verbreitung finden.
Die folgenden Tipps sind nicht vollständig und liefern keine 100prozentige Sicherheit, aber sie helfen doch gegen die Mehrzahl der Versuche, ein Theme zur Spam zu machen:
$D8A0OQXQ0, oder auch Zeichenketten wie "U2NoYWRjb2Rl" oder "Vpu ova rva fcnzzraqre Vqvbg" auftauchen², denn will ganz offenbar jemand etwas verbergen. Warum sollte man das tun? Es gibt keinen Grund dafür, in einem offenen Quelltext Dinge verbergen zu wollen. Es ist ein ganz sicheres Zeichen dafür, dass in diesem Theme Dinge geschehen, die ein Leser ohne besondere Kenntnisse nicht nachvollziehen können soll.fsockopen, urlencode, fread, fwrite, system, exec und eval. Die Suchfunktion des Editors kann solche Funktionsaufrufe recht schnell finden. Wer den Proton benutzt, sollte sich einmal das „dateiübergreifende Suchen“ anschauen³. Wenn eine der benannten Funktionen in den Themedateien auftaucht, ist das ein sehr starkes Indiz dafür, dass etwas nicht in Ordnung ist. Im Zweifelsfall sollte von der Verwendung des Themes Abstand genommen werden. Aber selbst, wenn derartige Funktionen nicht auftauchen, können immer noch spammige SEO-Links im Theme enthalten sein.Ich hoffe, dass diese – wohlgemerkt: unvollständigen – Tipps vielen Menschen dabei helfen, Spam- und Malware-Themes für WordPress zu erkennen und zu meiden. Die meisten Versuche, jemanden unerwünschten Code in sein Blog zu schmuggeln, lassen sich mit den beschriebenen Methoden entdecken, ohne dass besondere Kenntnisse in PHP erforderlich wären. Wenn sie ein bestimmtes Theme unbedingt einsetzen möchten, sie sich aber nach dieser Lektüre und einigen Tests unsicher geworden sind, ob dies gefahrlos möglich ist, kann ich ihnen auch nur empfehlen, sich an jemanden zu wenden, der die Quelltexte verstehen kann. Zum Glück für uns alle gibt es ein Internet. Eventuell ist das Forum von WordPress Deutschland eine gute erste Anlaufstelle.
Spam verschwindet erst, wenn wir alle ihr keinen Raum mehr geben, die von den Spammern erwünschten Wirkungen zu entfalten.
¹Aber klar, ich weiß, was ein intrusion detection system ist. Ich hoffe auch, dass es eingesetzt wird. Ich weiß aber nicht, ob es eingesetzt wird. Außer den Serverbetreibern weiß das niemand. Wenn Vorkehrungen getroffen werden, denn wird dies nicht kommuniziert, wird für unerheblich gehalten. Man soll vertrauen. Blind und unwissend vertrauen. Allein bei dieser Haltung werde ich skeptisch.
²Beides sind übrigens keine willkürlich gewählten Texte… 😉
³Wer ein unixoides System benutzt, wird vielleicht mein kleines Shellskript mögen.
Ich habe „ihre“ heutige Spam mit scharf gebremster Freude über mich ergehen lassen und bin gespannt auf weitere heitere Zeugen „ihrer“ ganz besonderen Aufdringlichkeit. Sie können sich darauf verlassen, dass „sie“ hier erwähnt werden. Um die Übersicht über „ihre“ ganz besondere Aktivität zu vereinfachen, sind „sie“ jetzt sogar zur „Ehre“ eines individuellen Schlagwortes für diese Aktivität gekommen.
Betreff: Vorschlag für tamagothi.de
Hallo,
Oh, welch treffsichere Ansprache!
leider haben Sie bisher auf meine ersten beiden E-Mails nicht reagiert. [sic!]
Aber nein doch, ich habe sehr wohl auf „ihre“ ersten beiden Drecksmails reagiert, „sie“ können es hier und hier nachlesen, ausgerechnet in einer Domain, die für „sie“ so irre „interessant“ ist, dass „sie“ ihrem Betreiber eine „Kooperation“ anbieten wollen. Offenbar, weil „sie“ davon ausgehen, dass der Betreiber dieser Site viel zu blöd ist, ein paar Klickergroschen dafür zu bekommen, dass er seine Site mit Reklame vergällt und dies den Lesern zumutet.
Ich würde Ihnen sehr gerne ein Kooperationsangebot unterbreiten. Bitte melden Sie sich, ob Sie Interesse daran haben oder nicht. [sic!]
Ich pflege es nicht, Spammern mit einer Mail zu antworten. Schon gar nicht, wenn diese mir irgendwelche „Kooperationen“ – zugegebenermaßen ein tolles Blendwort für Reklame und Linksetzung – rund um diesen Sumpf des beliebig manipulierbaren und in der Bundesrepublik Deutschland illegalen Glücksspieles im Internet andrehen wollen. Dass es hierzulande eine Linkhaftung gibt und dass „ihre“ so genannten „Kooperationspartner“ es leicht mit der Polizei zu tun bekommen können, weil sie Reklame für illegale Glücksspiele machen, ist „ihnen“ offenbar auch egal. Ist ja schließlich auch nicht „ihr“ Problem.
Es reicht mir völlig aus, über so einen Unfug ein bisschen zu bloggen, damit auch wirklich jeder mitbekommen kann, welche fragwürdigen Klitschen SEO-werte Links noch auf den unbedeutendsten Websites haben wollen – und die bei ihrem Ringen um die Manipulation der Indizes von Suchmaschinen nicht einmal dazu fähig sind, ins Impressum derjenigen Websites zu schauen, die von ihnen als „interessant“ bezeichnet werden, sondern lieber die Daten der DeNIC eG abgreifen. Nun, zumindest das haben „sie“ jetzt ja etwas anders gelöst, indem „sie“ auf so einen Firlefanz wie eine persönliche Anrede verzichten und damit den Spamcharakter „ihrer“ völlig unerwünschten Mails noch augenscheinlicher machen. Das wäre aber gar nicht nötig gewesen, er fiel schon vorher beim Hinschauen auf.
Wenn „sie“ wirklich glauben, dass es besonders viele Menschen gibt, die sich bei so einem aufdringlichen und unerwünschten Dreck im virtuellen Postfach dazu verpflichtet fühlen, auch noch eine Antwort zu verfassen, denn haben „sie“ sich jedenfalls geschnitten. Post wie „ihre“ landet meist dort, wo sie von ihrer Natur her hingehört: Im ziemlich glibberigen Sieb des Spamfilters.
Liebe Grüße
Christina Metternich christina.metternich (at) casinospielen.de
Es gibt Menschen, bei denen fällt das Wort „Liebe“ wie Falschgeld auf den Boden, wenn sie es in den Mund nehmen.
Grüßen „sie“ die niederländischen Antillen von mir, wo man so eine Website rund ums Internet-Zocken offenbar ganz gut betreiben kann. Und. Lecken „sie“ mich da, wo Sonne und Mond nicht hinscheinen können!
Der Nachtwächter
Nach Diktat verreist