ScriptBlogger

Ein Kunde unseres Kurz-URL-Scripts hatte ein wenig mit dem Besucheransturm zu kämpfen. Zur Lösung des Problems haben wir einige Änderung bezüglich der Performance bei Datenbankzugriffen vorgenommen und das Script um ein Caching-Modul erweitert. Während wir am Werkeln waren, hielt der Betreiber seine Nutzer mit folgender Statusmeldung auf dem Laufenden:

[Website-Name] is facing some growing pains and will be back online in the next couple of days. Updates are being made by the programmer and it will be completed in a couple of days. Existing url's are working.

Growing pains, also Wachstumsschmerzen, ist wirklich eine passende Beschreibung der Situation.

Zugegeben, der Titel ist etwas irreführend. Nicht Twitter allein hat dafür gesorgt, dass unser Server kurzfristig überlastet war. Neben dem Twitterbot haben auch UnwindFetchor, TweetmemeBot, Twisted PageGetter, real-url.org, Voyager und andere den Server überlastet. Wenn zig Anfragen pro Sekunden eingehen, kann das einen virtuellen Server schon aus der Fassung bringen.

Was war passiert. Spammer hatten auf gentleurl.net eine Menge Kurz-URLs generiert und dann über diverse Benutzerkonten auf Twitter gepostet. Jede auf Twitter gepostete URL wird sofort von einer zweistelligen Zahl Bots besucht. Dabei wird ein HEAD Request gemacht, um diverse Informationen zu erhalten. real-url.org ermittelt zum Beispiel die richtige URL, die sich hinter einer Kurz-URL versteckt. Weiß der Fuchs, was die anderen Dienste mit den Informationen anstellen.

Richtig unangenehm ist nur, dass die Bots alle nicht besonders nett sind. Denn statt sicher zu stellen, dass der Server nicht durch die Masse der eigenen Anfragen in die Knie gehen, hämmerten die Bots ohne Unterlass und Pause auf den Server ein. Bei mehreren Tausend URLs, die alle über einen sehr kurzen Zeitraum bei Twitter gepostet wurden, ist das dann nicht mehr lustig.

Abhilfe schaffte dann nur noch, diese Bots auszusperren, Firewall und .htaccess sei Dank.

Am Ende waren es dann rund 55.000 Hits in einem Zeitraum von fünf Stunden. Am "fleißigsten" war der UnwindFetchor mit 33,890 Hits, gefolgt von Twisted PageGetter und Voyager mit jeweils rund 8.000 Hits. Nachdem wir dann die diversen Bots gesperrt haben, kamen dann nochmals knapp 65.000 Zugriffe zusammen, die aber zum Glück ins Leere liefen und keinen Schaden mehr verursachten.

Seit gestern schreiben uns Leute oder rufen uns an und wollen wissen, warum wir denen eine Rechnung schicken. Erhalten haben die Leute folgende E-Mail:

Ihre Rechnung fuer diesen Monat finden Sie unter dem folgenden Link

http://kleinerlink.de/88

Rechnung-Nummer: 13439030

Der Betrag ist innerhalb von 5 Tagen auf unserem Konto zu überweisen.

kleinerlink.de ist eine unserer Kurz-URL-Domains. Der (umgehend von uns deaktivierte) Link führte zu einem Download einer .exe. Vermutlich ein Trojaner oder ein Virus.

Für den Fall, dass das nicht klar sein sollte: Wir verschicken keine Spam-/Phishing/-Schadprogramm-E-Mails und wir verteilen auch keine Schadprogramme.

Wichtiger Nachtrag

Sollten Sie die E-Mail erhalten haben, bitte klicken Sie auf keinen Fall auf den Link. Führen Sie bitte auch auf keinen Fall die zum Herunterladen angebotene Datei aus. Es handelt sich um keine echte Rechnung. Und auf keinen Fall wurde die E-Mail von uns an Sie versendet.

Was für ein Mist. Heute fährt wieder jemand einen DOS gegen unseren Kurz-URL-Server. Die Angriffe werden jetzt erst einmal geblockt und der Server ist auch wieder gut erreichbar. Hoffen wir, dass es so bleibt.

Zu guter Letzt hier noch die Nachricht von SURBL. Ebenfalls kein Vergleich zur Bastard-E-Mail.

This is a plain text description of the Abuse Reporting Feedback Report (RFC-5965) attached below. Due to privacy or legal reasons, some of the information is redacted pursuant to RFC-5965 Section 8.5.

Hello Redirection Site Operator,

Our systems have detected the following shortened URL in unsolicited messages which may be spam, phishing or malware.

We appreciate your work to handle abuse and request you investigate and take appropriate action regarding this abused shortener as soon as practicable:

URL: http://gentleurl dot net/[...]
IP: 46.163.115.119
Time: 2011-12-30T21:58:21+00:00

Additionally, please find some best practice suggestions at

http://www.surbl.org/redirection-sites

which includes:

* Check links against URI Blacklists,

* Recheck periodically including, if possible, when redirecting,

* Deny link creation from malicious IP addresses,

* Check the resolved IP addresses of the original url,

* Disallow redirection to other redirectors,

* Register an abuse contact role account at abuse.net,

* Return an http status code of 410 when an abused redirector is removed.

In our efforts to make your abuse handling easier, this message is RFC-5965 compliant. The Abuse Reporting Feedback Report was specifically created to allow automated processing of abuse reports.

Thank you for your time and efforts to reduce abuse,

SURBL

Die E-Mail enthält sogar gute Tipps. Tipps #1 bis #4 sind schon seit Jahren bei unseren URL-Kürzern umgesetzt. Andernfalls würden wir vermutlich täglich Beschwerde-Mails vom Provider und all den anderen bekommen. Derzeit sind das drei bis vier Benachrichtigungen im Monat. Tipp #5 beherzigen wir ebenfalls. Allerdings sprießen URL-Kürzer wie Pilze aus dem Boden. Da ist es schwer mitzuhalten. Die letzten beiden Tipps haben wir kürzlich umgesetzt.

Im Kontrast zu der Bastard-E-Mail von gestern hier mal die E-Mail von RSA. Die haben sich tatsächlich die Mühe gemacht (oder die Mühe machen lassen), ihre Textbausteine ins Deutsche zu übersetzen.

Sehr geehrte Damen und Herren,

RSA ist ein Unternehmen für Betrugsbekämpfung und Sicherheit. Es ist vertraglich damit beauftragt, Lloyds TSB Bank plc und die verbundenen juristischen Personen der Lloyds Banking Group („der Konzern") dabei zu unterstützen, Online-Aktivitäten, welche die Kunden des Konzerns als potentielle Betrugsopfer anvisieren, vorzubeugen bzw. sie zu unterbinden. RSA wurde darauf aufmerksam gemacht, dass Sie allem Anschein nach einer betrügerischen Website, die Teil eines „Phishing-Betrugs" ist, Ihre Internetdienste zur Verfügung stellen. Diese Aktivität verletzt die Urheberrechte, das Markenzeichen sowie weitere Rechte aus geistigem Eigentum des Konzerns und kann in den USA und in anderen Staaten strafrechtlich verfolgt werden.

Viele Internetnutzer erhielten E-Mails von einer natürlichen oder juristischen Person, die den Anschein erweckte, der Konzern oder einer seiner juristischen Personen zu sein - beispielsweise Lloyds TSB Bank plc, Halifax, Bank of Scotland plc oder Cheltenham & Gloucester plc. Diese E-Mails benutzten ohne Befugnis Namen und Identität (einschließlich der Handelsmarke) einer juristischen Person des Konzerns. . Sie fordern die Empfänger zur Bestätigung und Preisgabe vertraulicher Daten im Zusammenhang mit ihren Konten beim Konzern auf. Die betrügerische E-Mail enthält einen Link, der die Empfänger zu einer präparierten Website mit den urheberrechtlich geschützten Materialien und Handelsmarken der Gruppe führt. Diese Website trägt folgende URL-Adresse: hxxp://unrelo.com/[...], deren Serviceprovider Sie sind, und die Ihrer Kontrolle untersteht.

Die gefälschte Website stellt nicht nur einen Missbrauch der Rechte aus geistigem Eigentum des Konzerns dar, sondern dient dazu, auf unlautere Art und Weise an persönliche Daten von Kunden des Konzerns zu gelangen und sich damit Zugang zu ihren Konten zu verschaffen. Die Betreiber dieser Websites befassen sich gewöhnlich mit Aktivitäten im Zusammenhang mit Identitätsdiebstahl wie zum Beispiel mit der unbefugten Nutzung von Kundenkreditkarten oder Bankkonten. Da zudem die überwiegende Mehrheit dieser E-Mails nicht an tatsächliche Kunden des Konzerns oder seiner juristischen Personen versandt wird, können sich diese Aktivitäten schädigend auf den guten Ruf von Lloyds TSB Bank, Halifax, Bank of Scotland oder Cheltenham & Gloucester auswirken.

Bitte unternehmen Sie alle notwendigen Schritte, um diese betrügerische Website unverzüglich zu schließen, ihren Zugang zum Internet zu unterbinden und die Weiterleitung aller E-Mails im Zusammenhang mit dieser Website einzustellen.

Wir gehen davon aus, dass Sie sich des Missbrauchs Ihrer Dienstleistungen nicht bewusst sind und danken Ihnen für Ihre Mitarbeit. Wir möchten Sie vor allem darum bitten, uns die tar/zip-Datei des Quellcodes dieser Site zur Verfügung zu stellen, damit wir sie analysieren und dadurch weitere Attacken verhindern helfen können.

Falls irgendwelche Kundendaten erfasst wurden und in Ihrem System oder in Ihren Geräten gespeichert sind, bitten wir Sie, uns diese Daten zukommen zu lassen, damit die Kunden, auf die sich die Daten beziehen, benachrichtigt und entsprechende Schritte zu ihrem Schutz unternommen werden können.

Bitte beschaffen Sie uns eine Kopie aller vorhandenen Aufzeichnungen, die Namen, Kontaktadressen, Zahlungsweisen oder ähnliche Informationen enthalten, die zur Identifizierung und Lokalisierung des Kunden, für den die Website arbeitet, von Nutzen sein könnten.

Danke für Ihre Mitarbeit bei den Bemühungen, diesen betrügerischen Aktivitäten vorzubeugen bzw. ihnen ein Ende zu setzen.

Mit freundlichen Grüßen

RSA Anti-Fraud Command Center

„Phishing" ist ein E-Mail-Betrug, der mit Tricks versucht, Nutzern über eine gefälschte Website oder durch eine Antwortmail persönliche Daten zu entlocken, wie zum Beispiel die Kontonummer bei einer Bank,, Informationen zum Kontostand, oder Sozialversicherungsnummern oder Online-Passwörter zum Bankkonto.

Im Prinzip ganz nett und aufklärend geschrieben. Etwas fischig ist allerdings folgender Absatz:

Bitte beschaffen Sie uns eine Kopie aller vorhandenen Aufzeichnungen, die Namen, Kontaktadressen, Zahlungsweisen oder ähnliche Informationen enthalten, die zur Identifizierung und Lokalisierung des Kunden, für den die Website arbeitet, von Nutzen sein könnten.

Ohne richterlichen Beschluss die Herausgabe von Daten zu fordern ist ganz schön dreist.

Wenn wir darüber benachrichtigt werden, dass einer unserer Kurz-URL-Dienste von Spammern missbraucht wird, dann ist der Ton in der E-Mail normalerweise zivilisiert. Das gilt für unseren Webspace-Provider Hosteurope genauso wie für die RSA und SURBL. Andere wiederum glauben nicht an Höflichkeiten. Wie dieser E-Mail-Dienstleister. Das zeigt sich schon im Betreff...

Shutdown & Remove this Spam Phishing Thief

...und in der ersten Zeile der E-Mail:

You Spam Phishing Bastards !

Danach geht es weiter mit Drohgebärden und Prahlerei:

This Company does NOT Tolerate or Accept SPAM Email !
Each email sent by you has been recorded, reported and will cost you $ 1,000.00 per Can-Spam and Federal Government legalities!

You have been reported to Federal Authorities, spam@uce.gov, www.ic3.gov, CAN-SPAM, International, State and Local Authorities.

We are proud to have removed 7,987,654 Internet Spammers / Phishing Bastards and sent many others to prison and you too will soon find your worthless URL / email Ass incarcerated behind bars!

Alles in Allem eine unterhaltsame Lektüre. :-)

Dank unseres Kurz-URL-Dienstes gentleurl.net gibt es heute mal wieder eine Warnung an alle Webmaster. Überprüft euren Webspace auf folgende Dateien:

srv.php
img.php
images.php
htaccess.php
pic.php
last.php

Beim Aufruf der Dateien wird der Nutzer auf Websites weitergeleitet, die Medikamente verkaufen. Wir haben die entsprechenden URLs in unserem Dienst deaktiviert. Insgesamt waren es rund 525 Domains.

Außerdem sollte auf Dateien geachtet werden, die nach einem Vornamen benannt sind, zum Beispiel Mark.php oder Joanna.php.

Weiterhin gelten die Warnungen an Betreiber folgender Scripte und Anwendungen.

Das Kurz-URL-Dienste von Spammern und Phishern zum Verschleiern der URLs verwendet werden, haben wir ja schon öfters berichtet. Bei regelmäßigen Checks unserer Projekte zeigt sich, dass die Jungs auch Sicherheitslücken in Web-Software ausnutzen, um ihre Inhalte zu verbreiten. Oder sie verschaffen sich auf anderem Wege Zugang. Aktuell sollten Website-Betreiber folgende Scripte auf Aktualität überprüfen, da diese momentan massiv in den Kurz-URL-Datenbanken auftauchen:

Außerdem sollte jeder alte, seit längerer Zeit nicht mehr genutzte Script-Installationen prüfen. Die werden gern mal komplett übernommen.

Viele Kurz-URL-Dienste geben auf, weil Spam Überhand nimmt und der Betreiber des Problems nicht Herr wird. Aus einem solchen Projekt stammen die Domains linxfix.de und linxfix.com. Der frühere Betreiber antwortete auf unsere Anfrage, ob die URL-Datenbank noch existiere:

Die Seite wurde von uns intern genutzt und zusätzlich jedoch viel zu sehr für SPAM missbraucht. Daher haben wir die kompletten Daten gelöscht und dieses Projekt nicht mehr weiter verfolgt.

Nun haben die Domains einen neuen Besitzer und ein neues Layout.

Wie gewohnt gibt es auch eine API:

http://linxfix.de/?api=1&u=http://www.example.com/

Dass unsere Kurz-URL-Websites oft für Spam-Kampagnen genutzt werden, ist nichts Neues. Neu ist, dass sich uns dadurch Einnahmemöglichkeiten eröffnen.

Wenn wir von unserem Webspace-Provider benachrichtigt werden, dass eine URL eines unserer Dienste für Spam-Zwecke missbraucht wird, dann deaktivieren wir die Kurz-URL und gleich auch alle anderen Kurz-URLs, die zu der Spam-Domain führen. Resultat ist eine Liste mit deaktivierten URLs.

Beim Aufruf einer deaktivierten Kurz-URL erscheint dann eine Hinweismeldung, dass die URL abgeschaltet wurde. In der weißen Fläche unterhalb des Hinweis wird dann normalerweise Adsense-Werbung angezeigt.

Ende Juli hat ein Spammer Kurz-URLs auf lin.io generiert und in Spam-Mails benutzt. Massiv. Als Resultat ergaben sich folgende Zahlen:

Aus der Diskrepanz zwischen der Anzahl der Aufrufe und den Adsense-Einblendungen lässt sich ablesen, dass die Kampagne schon eine Weile lief, bis wir benachrichtigt wurden und die URLs deaktivieren konnten.

Das exakte monetäre Endergebnis bleibt unser Geheimnis, aber es zeigt, dass sich eine Kurz-URL-Website lohnen kann. Und je mehr man von diesen Seiten besitzt, desto besser.

Es war mal wieder Zeit für einen neuen Kurz-URL-Dienst. Fix die Domain melt.li registriert und eine Illustration bei iStockPhoto erworben, fertig war die Website.

Eine API zum automatisierten Erstellen von Kurz-URLs gibt es auch:

http://melt.li/?api=1&u=http://www.example.com/

Die URL http://www.example.com/ ist durch die eigene URL zu ersetzen.

Für Googles Browser Chrome gibt es sogar eine Extension, um URLs mit melt.li zu kürzen und gleich weiter an Twitter, Facebook, GMail & Co. zu senden.

In der letzten Woche haben wir die beiden Domains tllg.net und vll.me inklusive der Datenbank von einem Kunden übernommen. Der Kunde hatte die Kurz-URL-Seiten geschlossen, da ihm das Betreuen der Website zu aufwändig wurde.

Beide Domains zusammen haben uns $100 USD gekostet. Diese "Investition" durch Werbung wieder einzuspielen, dürfte - zumindest langfristig - möglich sein.

100 Dollar für zwei Kurz-URL-Domains ist schon ein guter Preis, wenn man bedenkt, dass die Domains "verbrannt" sind. Kurz-URL-Domains werden oft in Spam- oder Phishing-Kampagnen benutzt. Deshalb befinden sich viele Kurz-URL-Domains auf URL-Blacklists (SURBL.org).  URLs dieser Dienste tauchen außerdem auf den dubiosesten Websites auf. Danach mit dieser Domain etwas anderes als ein Kurz-URL-Script zu betreiben dürfte keinen Spaß machen.

Einen mittleren, vierstelligen Betrag für so eine Domain zu verlangen ist also eine grobe Verkennung der Realität. Das hindert einige Domainbesitzer jedoch nicht daran, diese Beträge trotzdem zu verlangen:

I would sell it on auction in a short time. I guess [the Domain] is not a 2 digit thousands(10K), domain name. Middle level 1 digit thousand price is acceptable for me. 

Website-Preise ergeben sich meist aus den monatlichen Einnahmen dieser Website multipliziert mit dem Faktor zehn bis zwölf. Wenn man gut ist, kann man zwischen 40 und 80 EUR im Monat mit einer Kurz-URL-Website machen. 500 EUR wären dann die Verhandlungsbasis. Mehr als 1000 EUR sollte man als Domaininhaber dafür aber nicht erwarten.

Unsere Kurz-URL-Dienste wie zum Beispiel kleinerlink.de werden von Spammern und Phishern zu missbrauchen versucht. Ständig. Deswegen wird jede URL mit verschiedenen Blacklists abgeglichen. Schon seit Jahren. Nur die Blacklist von SpamCop scheint nicht richtig zu funktionieren. Alle paar Tage kommt dann von Host Europe eine E-Mail, die sich wie folgt liest.

Wir haben eine Beschwerde darüber erhalten, dass Ihr Link-Verkürzungsdienst missbraucht wird, um darüber erzeugte Links in Spammails zu bewerben. Bitte prüfen Sie die Beschwerde und entfernen Sie den Link ggf. sobald wie möglich, um derartigen Missbrauch unattrakiv zu machen.

Host Europe hatte sich vor ein oder zwei Jahren mal bei uns erkundigt, was es mit der Website auf sich hat. Seitdem leiten die Support-Mitarbeiter einfach die Benachrichtigungen von den Anti-Spam-Firmen weiter und wir deaktivieren dann die Links.

Dann dachten wir uns, dass Host Europe doch diese Benachrichtigungen automatisch an uns weiterleiten könnte. Vorteil für Host Europe wäre weniger Aufwand. Vorteil für uns wäre, Host Europe würde nicht jede Benachrichtigung sehen. Im schlimmsten Fall sagen die dann irgendwann, es reicht. Als fragten wir nach.

Besteht die Möglichkeit, dass Sie für diese Art von E-Mails einen Filter erstellen, damit die E-Mails sofort an uns weitergeleitet werden? Dann könnten wir zügiger die URLs deaktivieren.

Host Europe antwortete:

Leider nicht. Da sich die Beschwerden auch in Grenzen halten und uns nicht mehrere taeglich erreichen, ist die Last auf unserer Seite auch noch sehr gering.

Sehr beruhigend. :-)

Fazit: Im Gegensatz zu anderen Webspace-Providern arbeitet Host Europe mit seinen Kunden zusammen statt bei den kleinsten Problemen gleich die Domain zu sperren, wie es seinerzeit Domaingo getan hat.

Schreibt einer heute:

Mich interessiert nur ungefähr, wie oft wurde ihr Short URL Script verkauft? (Dise Frage dient nur rein der Interesse) (sic!)