ScriptBlogger

Dass Spammer unsere Support-Foren versuchen vollzumüllen, ist nicht neu. Da gibt's Mittel gegen. Spammer neigen selten dazu, sich selbst zu bezichtigen. Trotzdem kam heute folgende E-Mail.

Betreff: Delete My Account! I Am A Forum Spammer! Re: Welcome to "Support Forum"

This account was solely created to automatically register and then spam as many forums as possible. The account created using this email address should be deleted immediately.

Thank you.

Fragt sich, welchen Sinn das haben soll. Im Netz ist dazu auch nichts zu finden.

Wir wurden letztens mit der Installation des Comment Scripts beauftragt. Beim Aufruf der Seite kam mir diese recht bekannt vor. Kurz nach dem Namen gesucht und tatsächlich. Der Kunde hatte vor rund einem halben Jahr schon einmal den Installationsservice für dasselbe Script bestellt.

Nachdem ich das seinerzeit installierte Script erneut hochgeladen hatte, funktionierte das Script sofort wieder. Die Datenbanktabellen waren also noch da. Im Admin-Bereich wartete jedoch eine Überraschung: Über 8.000 Spam-Kommentare. Kein Wunder, dass der Kunde die Notbremse gezogen hatte.

Ein Blick in die Einstellungen zeigte allerdings, dass keine der Anti-Spam-Einstellungen aktiv waren. Kein Akismet, keine Wörter-Blacklist, keine IP-Blacklist.

Zwei Dinge lernen wir daraus. Erstens, ohne Spam-Blocker geht heutzutage gar nichts. Und zweitens, man sollte sich nicht darauf verlassen, dass der Kunde sich um solche Sachen kümmert. Bei den folgenden Installationsaufträgen machen wir die entsprechenden Einstellungen wohl am besten gleich mit. :-)

Unsere Antwort-E-Mail auf eine Support-Anfrage kam zurück mit dem Hinweis, dass unser Server auf der Blacklist von AT&T - dem Mail-Provider des Empfängers - enthalten war. Wie die da nun wieder drauf kommt. :-[] Wir werden das mal beobachten.

Bequemer Weise war gleich ein Link zum Austragungsformular aufgeführt. IP-Adresse eingegeben und Formular abgeschickt, kam wenig später die Bestätigung von AT&T, dass in den nächsten 24 bis 48 Stunden die IP von der Liste verschwinden würde. Ironie des Schicksals: Die Benachrichtigungs-E-Mail von AT&T wurde von MailWasher (ein Programm zum Vorsortieren von E-Mails, das wir einsetzen) als Spam eingestuft. Fragt sich, auf wessen Liste wiederum AT&T steht. :-P

Kürzlich kam mit der c't wieder die Knoppicillin-Live-CD ins Haus. Damit lässt sich der eigene Rechner auf Viren überprüfen, ohne dass ein Anti-Viren-Programm installiert ist oder das Betriebssystem des Rechners überhaupt gestartet wird. Die aktuelle Knoppicillin-CD testet mit den Viren-Scannern von Avira, BitDefender und Kaspersky.

Einer unserer Rechner zeigte beim Test Auffälligkeiten. Während Avira und BitDefender zufolge der Rechner sauber war, fand Kaspersky 38 Infizierungen. Autsch.

Die Log-Datei sah wie folgt aus (Auszug):

~8:13:44 +0100]/UNNAMED///x-game.exe INFECTED Trojan-Downloader.Win32.Agent.crz
~ 14:42:00 -0500]/UNNAMED///game.exe INFECTED Trojan-Downloader.Win32.Agent.czl
~                                      .exe INFECTED Email-Worm.Win32.NetSky.aa
~ 2007 09:34:51 +0100]/UNNAMED///flash-game.exe INFECTED Trojan.Win32.Pakes.bpa
~te Tue, 20 Nov 2007 14:18:23 +0100]///card.scr INFECTED Trojan.Win32.Inject.la
~                                      .exe INFECTED Email-Worm.Win32.NetSky.aa
~ 16:09:30 -0500]/UNNAMED///card.scr INFECTED Trojan-Downloader.Win32.Agent.gbu
~ 21:24:47 +0000]/UNNAMED///card.scr INFECTED Trojan-Downloader.Win32.Agent.gbu
~ec 2007 13:50:48 -0500]///hard.scr INFECTED Trojan-Downloader.Win32.Diehard.dc
~e Mon, 19 May 2008 13:37:17 +0800]///jolie.exe INFECTED Trojan.Win32.Pakes.cwv
~Sun, 1 Jun 2008 11:57:01 +0300]///Rechnung.exe INFECTED Trojan.Win32.Buzus.hrp
~Fri, 6 Jun 2008 17:28:13 +0300]///Rechnung.exe INFECTED Trojan.Win32.Buzus.hrp

Der erste Schock war recht schnell überwunden, als der Blick auf den Pfad fiel. Alle gefundenen Trojaner und Würmer befanden sich unter folgendem Pfad (geändert):

/server/mysql/data/beispiel_projekt/data.MYD

Data.MYD ist eine Tabelle der MySQL-Datenbank eines Projektes. Dieses Projekt empfängt eine Menge E-Mails - inklusive Spam-, Trojaner- und Wurm-E-Mails. Auch wenn die in der Datenbank befindlichen Trojaner kein besonders großes Schadenspotenzial beinhalten, wäre es vielleicht trotzdem eine gute Idee gewesen, die Datenbank zu bereinigen, bevor man sich einen Dump vom Server herunterlädt. Na ja, nächstes Mal. ;-)

Kaspersky verdient sich damit einen Bonuspunkt als einzige Antiviren-Software der drei Kandidaten, die Trojaner/Würmer in MySQL-Datenbanken findet.

Wenn Scripte zu Spam-Schleudern werden, ist das alles andere als lustig. Ab und zu kommen Anfragen, ob diese Gefahr bei unseren Scripten besteht. Kürzlich kam ein konkreter Hinweis, dass angeblich zwei unserer Scripte Spam versenden. Das Abstimmungs-Script und das Kommentar-Script.

Zum Glück ist das beim Voting Script gänzlich unmöglich - es fehlt schlicht eine Mail-Funktion. Beim Comment Script gibt es für den Admin die Möglichkeit, sich über neue Kommentare per E-Mail informieren zu lassen. Da allerdings Daten aus dem Formular ausschließlich im Body der E-Mail landen, dürfte es für einen Angreifer nur schwer möglich sein, weitere Empfänger in den Header der E-Mail zu schleusen.

Der Nutzer hatte den Header der Spam-E-Mail im Forum veröffentlicht und darin lies sich folgende Zeile finden:

X-PHP-Script: example.com/example/general.php

Spätestens hier war Entwarnung angesagt. In keinem der beiden Scripte ist eine Datei namens general.php enthalten. :-P

Jemand muss mal wieder eine unserer E-Mail-Adressen als Absender seiner Spam-Mails verwendet haben. Ein paar Leute haben sich bei uns gemeldet und wollten aus der Mailing-Liste ausgetragen werden:

unsubscribe me from your mailing list A.S.A.P

Allerdings versenden wir keine Mailings. Und dass es sich irgendwann mal auch bis zum Letzten herumsprechen wird, dass Spammer in der Regel keine eigene E-Mail-Adresse als Absender verwenden, dürfte wohl auch für ewig ein Wunschtraum bleiben.

Dem einen oder anderen Zeitgenossen erschließt sich der Zweck eines Wegwerf-E-Mail-Dienstes wie unser IncognitoMail nicht immer gleich. Und manchmal werden wir gefragt, ob unser Dienst nicht vielleicht von Spammern missbraucht werden könnte.

Die Antwort: Spammer senden eine riesige Menge an E-Mails an eine ebenso riesige Menge von Empfängern. Unser Dienst ist dafür denkbar schlecht geeignet. Der einzige Weg, mit IncognitoMail eine E-Mail zu versenden, ist die Antwort-Funktion. Und die ist mit Akismet und einer Captcha-Funktion gesichert.

Damit ein Spammer mit dem Dienst eine Spam-Mail an einen einzigen Empfänger absetzen kann, müsste er folgende Schritte durchlaufen:

1. Neue Wegwerf-E-Mail-Adresse auf IncognitoMail generieren
2. Eine E-Mail mit der späteren Empfänger-E-Mail als Absender an die Wegwerf-Adresse schicken
3. Diese E-Mail bei IncognitoMail abrufen und auf Antworten klicken
4. Text in das Feld schreiben/kopieren
5. Captcha korrekt ausfüllen
6. Formular absenden
7. Jede ausgehende E-Mail wird mit Hilfe von Akismet auf Spam überprüft.

An dieser Stelle hat der Spammer gerade mal eine E-Mail an einen Empfänger geschickt. Viel zu kompliziert und zeitaufwändig. Deshalb nutzen Spammer in der Regel Bot-Netze mit Zombie-Rechnern oder offene Mail-Server, um ihre Spam-Nachrichten an Millionen von E-Mail-Adressen zu schicken. Und das in einem Zeitrahmen von wenigen Minuten und Stunden.

Aus diesen Gründen betrachten wir IncognitoMail und auch unser dahinter arbeitende Wegwerf-E-Mail-Script als Spam-sicher. Das heißt nicht, dass das Script auch mal von zwielichtigen Gestalten benutzt wird. Aber das ist eine andere Geschichte.