A se kaj dela?

[Jakey]

Se bojim, da gre zgolj za nagajanje, ki traja že od januarja 2015.

[VolkD]

Smatram, da so vmes tudi AI boti, ki pobirajo vsebino za svoje učenje.

Ne bo držalo. Pajki in drugi boti so na našem forumu prijavljeni. Spisek se konstantno posodablja. Ker je forum narejen tako, da imajo boti večje pravice kot gosti je interes lastnikov botov, da je bot prijavljen. To ni neka specialna funkcija našega foruma ampak je to normalno za vse phpbb od 3.0 naprej.
Od tega ima korist tako forum, kot lastniki botov.

Primer: Gost ne more videti vsebine priponke, bot, ki je prijavljen pa jo lahko. Iskanje po spletu tako na google (ali pa kje drugje [ AI ]) tako da rezultate in usmeri bodoče člane na forum.
To sicer ne pomeni, da ni botov, ki niso prijavljeni, a tisti, ki delajo z AI, zelo dobro vedo, da bodo informacije, ki jih iščejo mnogo bolj kvalitetne, če se prijavijo in se praviloma vsi (google in AI, pa še veliko drugih) boti prijavljajo.

[s53pa]

Mhm...

Po forumu brska Yandex[bot]

[VolkD]

Mhm...

Po forumu brska Yandex[bot]

ja in ni edini,.... AhrefsBot [Bot], Amazonbot, Bing [Bot], dotbot, facebookexternalhit, Google [Bot], gptbot, .... pa še jih je. Vsi so na forumu registrirani kot boti. Za razliko od gostov lahko boti vidijo priponke oziroma njihovo vsebino.

[DusanK]

Št. uporabnikov, ki pregledujejo forum (trenutno 176 gostov, prejšnje dni >500), vsako uro pada in je čas, da se forumu omogoči polno delovanje, ker je zelo moteče, da ni vidnih slik ampak povezave do slike, ni gumba za "citiranje", ni gumba za "odgovor" ampak samo "hitri odgovor", ter osiromašena grafika od neprikaza avatarjev, pasice do gumba npr. "zahvali se" itd.

primer3_ni_pasice.JPG

Primer_1.JPG

Pri pregledovanju po straneh neke določene teme občasno dobivam:

primer2_403_server_error.JPG

[S55RU]

Od kdaj ni več vidnih aktivnih tem za neprijavljene osebe?

Zadeva je vsaj zame moteča, saj sem ponavadi preveril nove teme večkrat dnevno, brez da bi se prijavil. Prijava pa le po potrebi.
Saj vem, da se lahko prijavim. Samo ko dostopam na forum z različnih računalnikov (službeni, službeni merilni,...)

[VolkD]

Št. uporabnikov, ki pregledujejo forum (trenutno 176 gostov, prejšnje dni >500), vsako uro pada in je čas, da se forumu omogoči polno delovanje, ...

Zdaj jih je okrog 200. A ni problem v samem številu, problem je, da je število uniq IP-jev s katerih prihajajo še vedno preko 800 v enem dnevu. Botnet torej malo spi in tipa. Saj se bo umirilo, kakšen dan bo treba še počakat. Bomo pa funkcije vračali postopoma in ne vse naenkrat.

Pri pregledovanju po straneh neke določene teme občasno dobivam:

primer2_403_server_error.JPG

Prehiter si. To dobiš, če prehitro klikaš. Vsi dobijo to, tudi nebodigatreba gosti. Server namesto, da bi delal iskanje po bazi, vidi, da je nekdo zelo hiter in vrne tole.

[VolkD]

Od kdaj ni več vidnih aktivnih tem za neprijavljene osebe?

Zadeva je vsaj zame moteča, saj sem ponavadi preveril nove teme večkrat dnevno, brez da bi se prijavil. Prijava pa le po potrebi.
Saj vem, da se lahko prijavim. Samo ko dostopam na forum z različnih računalnikov (službeni, službeni merilni,...)

To je odkar se je pojavilo več sto gostov in je veselo klikalo na vse živo, tudi na aktivne teme. Server je bil zato preobremenjen in nihče po več deset minut ni dobil ničesar.
Odveč je, da posebej povem, da je to internetni napad in se ga moramo na nek način braniti.

[VolkD]

Danes smo ponovno imeli DDOS napad. Pravzaprav to ni klasični DDOS, ampak se gre za to, da neprijavljeni uporabniki ( "gost"-je) s svojim klikanjem preobremenjujejo bazo podatkov. Najraje imajo funkcije kot so search, saj so te funkcije take, ki povzročijo veliko aktivnost baze podatkov. Radi imajo tudi funkcijo " vsi prispevki uporabnika", še posebej so veseli, če ima uporabnik veliko prispevkov.
Včasih je težko ločiti pravega uporabnika od zlonamernega. Razlog je v tem, da se pravi uporabnik do prijave pojavi v evidenci "gosto"-v. Še težje je, če se pravi uporabnik ne prijavi ampak ostane kot gost in kot gost pregleduje forum. Prosim vas, če se tej praksi, če se le da izognete. S tem mi boste precej pomagali ločiti seme od plev(ela). Zbiram namreč IP številke s katerih napadi prihajajo, zbirko bom uporabil na firewall zaščiti, istočasno pa jih bom tudi posredoval na Nacionalni odzivni center za kibernetsko varnost.

V vsakem primeru pa bom precej omejil pravice gostov. Omejil predvsem v smislu, da gostom ne bom dovolil izvajati funkcij, ki hudo obremenjujejo bazo podatkov.

Vem, da lahko omejim doseg foruma samo na Slovenijo. Tega si seveda ne želim, saj so naši člani velikokrat tudi v tujini. Bom pa tako funkcijo pripravil, kot skrajni začasni ukrep, ki se ga bom poslužil, če bo napad res močan, a to le za čas trajanja napada.

[VolkD]

Verjetno bo vprašal kdo izvaja te napade na naš forum.
Pošten odgovor je seveda "Ne vem". To kaj si ob takem vprašanju mislim je pa seveda druga stvar. V cilju iskanja odgovora seveda lahko uporabim social engineering in tako pridem do določenih namigov, ki pa seveda ni nujno, da držijo.

V cilju iskanja odgovora na vprašanje, pa si iz izkušenj in zgodovine lahko odgovori vsak sam.

P.S.: Vsak, ki drugemu dela škodo, ima neizmerno potrebo, da oceni velikost te škode. Treba je torej samo gledat, kdo bo prišel ocenjevat to škodo.

[VolkD]

S foruma sem zbrisal sem 130 spamerjev. Še vsaj ene 5x toliko jih čaka.
Počasi gre, ker moram vsakega preverjat, kar je pa seveda zamudno. No nekatere lahko hitro najdeš, spet drugi so zviti kot preste,...

Ampak če IP kaže na recimo Kanado, pod interes je pa nekaj napisano v cirilici, potem to zagotovo ni naš potencialni uporabnik.
Tudi recimo taki, ki imajo "store" v e-naslovu niso zaželjeni.
Pa pet uporabnikov s podobnimi nick name in naslovi "03.sirius.xr@gmail.com","0.3sirius.xr@gmail.com","03s.irius.xr@gmail.com","03.siriu.sxr@gmail.com", "03sirius.xr@gmail.com" prav tako ne.
Pa tak, ki napiše v kraj bivanja "Greece", IP s katerega se je prijavil je pa filipinski,...

Še se tega najde,... jutri grem dalje.

[VolkD]

Zmaga pa sharon, v polje interes je napisal:

Our extensive product range features everything from innovative vibrators, realistic dildos, and sensual bondage gear to luxurious lubricants and erotic games, all sourced from trusted brands to ensure superior performance, safety, and discretion.

Inovativno, ni kaj. Me je prav imelo, da ga nebi zbrisal.

[peterp]

Morda trapasto vprašanje ampak saj to je lokalni forum a ne? Zakaj je sploh odprt za ves svet? Zaradi iskalnikov?

[airwolf]

Nekateri tudi hodimo na forum iz IP-jev, ki niso Slovenski.
Recimo včeraj pol dneva nisem mogel na forum, ker je bil moj IP med blokiranimi.
Uporabljam ponudnika Starlink.

[VolkD]

Morda trapasto vprašanje ampak saj to je lokalni forum a ne? Zakaj je sploh odprt za ves svet? Zaradi iskalnikov?

Drži, forum je lokalni, čeprav vem, da ga spremlja kar nekaj ljudi s tujine(jezik je ovira), predvsem EU. Veliko njih, ki ga spremlja je tudi s področja bivše države, a je precej tudi takih z Balkana, ki so izven nekdanje YU. Bolgarija recimo.
Forum je odprt za ves svet iz več razlogov:
- Tako kot jaz recimo spremljam več forumov, ki so prav tako lokalni, tako tudi drugi najdejo kaj zanimivega na našem forumu.
- Zaradi migracij. Ljudje (naši člani) potujejo po vsem svetu, lahko zasebno, še več pa službeno. Forum jih na teh poteh seveda spremlja.
- Zaradi članov, ki živijo v tujini, tu so predvsem mišljeni zamejski Slovenci. Nekateri so celo člani foruma.
- Zaradi ponudnikov interneta, ki ni nujno, da so slovenski. Izhod iz njihovega intraneta v internet je lahko praktično kjerkoli v svetu.
- Zaradi paralelnih omrežij, ki se v internet povezujejo marsikje. Eno takih nam bolj poznanih je Packet Radio, oziroma njegova različica nebrezhibnega protokola.
- Zaradi tega, ker je skoraj nemogoče definiati kateri IP-ji so slovenski in kateri ne. In tudi, če bi imel informacijo ol blokih IP-jev, ki so slovenski/tuji, ni nobene garancije, da bo jutri še tako. V pomanjkanju IP številk se z njimi namreč trguje. Nek blok, ki je še včeraj bil slovenski ( recimo v grupi dinamičnih IP številk) je jutri že del tujine. Seveda tudi obratno.

Iskalniki! pa tudi različne raziskovalne institucije pregledujejo internet glede na vsebino, pojavnost, količino prometa,... To seveda počno avtomatsko z boti; spideri; Web crawler-ji. Načeloma ti uporabniki vidijo toliko kot gostje in nič več. Ima pa forum funkcije preko katerih se ti boti lahko prijavijo na forum ( lahko jih prijavim tudi jaz, če je interes). Prijavljen bot ima potem več privilegijev, kot običajen gost. En tak pomemben privilegij je, da lahko berejo/vidijo vsebino priponk. Na ta način recimo Google najde na forumu tudi stvari, ki jih gostje ne vidijo. Našo revijo na primer. Če to potem koga zanima se mora na forum prijaviti.

[VolkD]

Nekateri tudi hodimo na forum iz IP-jev, ki niso Slovenski.
Recimo včeraj pol dneva nisem mogel na forum, ker je bil moj IP med blokiranimi.
Uporabljam ponudnika Starlink.

Ja res je.
Se opravičujem, Starlink je v internet prišel v eni grupi iz katere se je dogajal intenziven DDOS napad in tako si ostal zunaj. Potrebno je bilo torej v celi grupi narediti izjemo za nekaj Starlinkovih IP-jev.
Imam pa celo občutek, da so nekateri Starlink uporabniki okuženi in preko Starlink omrežja izvajajo napade. Informacijo o tem že ima SI-CERT.

[int47]

Mislim, da prejšni ponedeljek meni forum ni deloval iz T2 IP-ja.

Aja. Funkcija pošiljanje novega gesla, če si ga (začasno) pozabil, vsaj meni, ne deluje.

[VolkD]

Mislim, da prejšni ponedeljek meni forum ni deloval iz T2 IP-ja.

Lahko prosim poveš s katerega IP-ja ?

Aja. Funkcija pošiljanje novega gesla, če si ga (začasno) pozabil, vsaj meni, ne deluje.

Pravkar preizkusil. Dela.
Imaš pravi e-naslov vpisan v svoj profil ?

[int47]

IP- za nazaj žal ne vem. Lahko naslednjič probam zabeležit.

Meni tudi sedaj dela. Kakšen teden, ali tri nazaj pa ni delovalo. Sem vmes večkrat poskusil.
E-naslova nisem spreminjal.

[DusanK]

Glede na to, da smo pod DDOS napadom je bilo treba predvsem tistim, ki niso prijavljeni odvzeti nekaj pravic.
Dogaja se namreč to, da se neprijavljeni množično konektajo na forum in potem sprožajo različna iskanja, predvsem taka, ki so za bazo časovno obremenjujoča. Ker to počno v več oknih zelo hitro en zahtevek za drugim, je tudi povečan čas, ki mora poteči med enim in drugim zahtevkom. Slednje vpliva generalno na vse.

To kar sem uspel izvedeti je, da je DDOS napad plačan, da se začne ob 18:08 in traja cca 4 ure intenzivno, potem pa nekateri boti pač ne dobe takoj ukaza za prenehanje in se zadeva lahko ponavlja preko celega dne.

Neprijavljeni boste torej imeli precej več neugodnosti kot do sedaj, prijavljeni pa boste morali živeti s tem, da sesion pade hitreje kot do sedaj ( od tod težave z nalaganjem slik in/ali simbola v tabu).

Nimam pojma komu gre zahvala za te dobrote.

Sumljivo se mi zdi, da ima nekdo toliko €€€€, da plačan DDOS napad še vedno traja, saj je št. uporabnikov že nekaj časa dokaj konstanten od 250 do 400 v vsakem trenutku.
Kaj pravi CERT glede na vse to?

Bi se dalo neprijavljenim uporabnikom omogočiti nazaj vsaj "Poglej aktivne teme", če že ne drugega.
Saj ne vidim prednosti, da bi se prijavljal na forum z vpisanim uporabniškim imenom in geslom, če bi želel prebrati samo npr. zadnje teme.

[VolkD]

Bi se dalo neprijavljenim uporabnikom omogočiti nazaj vsaj "Poglej aktivne teme", če že ne drugega.
Saj ne vidim prednosti, da bi se prijavljal na forum z vpisanim uporabniškim imenom in geslom, če bi želel prebrati samo npr. zadnje teme.

Done!

Ti res nimaš prednosti, forum pa jo ima. Funkcija "Poglej aktivne teme" je pravzaprav search preko celotne baze podatkov. Dokler je to en search vsake toliko ni panike. Ko pa se grupa botov spravi izvajati ta search neprestano in stalno bo baza počepnila.
Na novo je sicer narejena prepoved prepogoste uporabe te funkcije, to pomeni da en in isti uporabnik ne more stalno prožiti to funkcijo. Ampak se podoben negativen efekt lahko doseže, če jo prožijo različni uporabniki.
Novejše verzije ( phpbb3.3.xx) imajo možnost vključevanja te prepovedi globalno (torej, če kdo uporabi to funkcijo, potem je naslednjih nn sekund ne more uporabiti nihče). Žal je migracija na novejšo verzijo precej zahtevna zadeva, ki vzame kar veliko časa, ki ga nihče nima.

No kakorkoli, funkcijo imate nazaj. Če bo šlo kaj narobe, bo to prva stvar, ki bo ponovno izginila.

[VolkD]

Sumljivo se mi zdi, da ima nekdo toliko €€€€, da plačan DDOS napad še vedno traja, saj je št. uporabnikov že nekaj časa dokaj konstanten od 250 do 400 v vsakem trenutku.
Kaj pravi CERT glede na vse to?

CERT ne pravi kaj dosti. V resnici se nikoli ne vmeša v eni sami točki. Zbira pa podatke in jih je tudi zelo vesel, saj mu koristijo pri izdelavi globalnih strategij.
Tole pravzaprav ni bil klasičen DDOS napad, saj se ne gre za preprosto pinganje ( so minili časi). Gre se za specializiran napad na forume tipa phpbb. Ni nič novega in je poznano. Izkorišča se šibko točko baze podatkov tako, da se izvaja dele forumske kode, ki močno obremenijo bazo.

No napad je že nekaj časa mimo. Verjetno ste opazili nekaj tisoč uporabnikov ( ki so delali poizvedbe po bazah), zdaj jih je desetina oziroma še krepko manj. Razumeti je treba, da je nekaj od teh 250 do 400 v resnici čisto navadnih firbcev, ki pač gleda forum. Ti bodo ostali vedno. To kar je ostalo so ostanki napada.
BotNet je narejen tako, da uboga ukaze, ki mu jih nekdo daje. Zadeva ne gre trenutno, ukaz se nekam zapiše, ko bot sporadično pride na to nekam lokacijo,... šele takrat uboga.
Ponavadi so to okuženi računalniki. Če je računalnik v trenutku, ko se ukaz na "dogovorjeni" lokaciji zapiše ugasnjen in je ugasnjen tako dolgo, da lastnik BotNeta ta ukaz prekrije z novim, potem ta računalnik ob zagonu tega ne ve in še vedno deluje po prvotnem ukazu. Skratka v realnosti BotNet ne uboga lastnika v popolnosti. Zato imamo mi še vedno med 150 in 300 botov, ki nas napadajo. Nekateri bodo to počeli še več let, nekatere bodo lastniki ugotovili in jih očistili virusov. Nekatere pa bo lastnik BotNeta sčasoma zresetiral.

[Jakey]

Od kdaj pa to?

[s56rga]

Iz pripete slike ne uspem razbrati nič. (Na telefonu)
Premajhna resolucija.

[Jakey]

Iz pripete slike ne uspem razbrati nič. (Na telefonu)
Premajhna resolucija.

Slika je 1800x400. To bi moglo biti dosti, da se poskrolla levo-desno.

Sicer pa moj prispevek je kao objavljen 2013, a pridružen sem šele 2015.

[MadMax]

Nekatere teme skupinskih projektov DES so bile prenešene iz onega foruma sem.
Nisi edini futuraš