Fredagsmys: Ca 100 000 SEO-spamkonton raderade – 97% av trafiken från icke-Väst blockerad, USA stora säkerhetsproblemet

”Search Engine optimization. You will never find a more wretched hive of scum and villany. We must be cautious.”*
*obskyr popkulturell referens

Dags för lite fredagsmys. Rensningen av ca 100 000 SEO-spamkonton registrerade på bloggen är nu färdig och kvar finns nu bara legitima kommentarskonton som lämnat godkända kommentarer, medan några riktiga läsares konton kastats ut med badvattnet då de inte kommenterat. Alla kan fortsätta läsa bloggen som vanligt och det krävs inte någon registrering för det. I samband med detta så kan konstateras att 97% av trafiken från icke Västländer blockeras via bloggens brandväggsregler hos Cloudflare, och det stora kvarvarande säkerhetsproblemet stavas USA, som pga näst största legitima läsarland inte är blockerat lika hårt.

Utrensningen av SEO-spamkonton är nu färdig, och dessa trodde sig trots att de var blockerade från sökmotorindexering i bloggens robots.txt kunna få sökmotoroptimering genom kontobeskrivningarna, som går att läsa om man klickar på ett kommentarskonto och kan direktlänkas från externa SEO-sajter. Öht är SEO som sagt en väldigt skum bransch.

Registreringarna har pågått länge, men jag har saknat verktyg att massradera, men det som fick mig att kavla upp ärmarna här var att en svensk SEO-skurk ska skrutit och tagit betalt för att placera sådana meningslösa länkar specifikt på bloggen. Rent bedrägeri, både att tjäna pengar på min blogg och på att ljuga för sina kudner eftersom sidorna inte indexerades av sökmotorer. Men så är SEO ”a wretched hive of scum and villany”.

Nåväl, problemet löst.

Registreringarna sker via botnät och kapade system runt om i världen, eller rena botfarmer belägna hos mindre nogräknade Internetleverantörer utanför Västvärlden. Kapade system kan vara allt från routrar till smart-teve, och eftersom de generellt kör Linux eller *BSD eller annan *NIX så går det att köra i stort sett vilken ändamålsenlig botprogramvara som helst på dem.

Det är nu lagt extra spärrar både via Cloudflare och direkt på den faktiska servern mot registreringar av konton, vilket gör att det inte går att registrera konton om man sitter på fel plats eller detekteras som suspekt av andra anledningar, men i storleksordningen 98% av läsarna gör inte det.

Sedan tidigare har jag satt upp ett antal hemmasnickrade regler i Cloudflare för att bekämpa de DDOS-attacker som ryssarna körde mot bloggen under det fullskaliga krigets första två år, och som sedan dess effektivt har stoppat alla attacker. Cloudflare stoppar automagiskt en hel del attacker, men andra krävde handpåläggning.

En sådan är att det är Cloudflare Managed Challenge om man sitter i länder utanför Västvärldens demokratier. Ryssarnas DDOS-attacker skedde från länder utanför EU och en Cloudflareutmaning finns på de länderna sedan 2024 vilket stoppade problemet som brukade uppstå i samband med antingen ryska motgångar eller inför ryska försök till offensiver eller i samband med större ryska påverkansoperationer i media. Man försöker koordinerat tysta pro-Ukrainska kanaler när man kör dessa.

Det visar sig att 97% (97.04%) av trafiken från utanför Väst är illegitim och blockeras av denna regel. Det säger något om hur stort dagligt säkerhetshot länder utanför Väst utgör – det är knappast bara bloggen som ständigt anfalls av olika botnät.

Kina är här största källan till angreppsförsök som inte klarar av Cloudflares utmaning, följt av välordnade Singapore, Indonesien, Vietnam, Bangladesh osv. Ryssland själv är bara en mindre del. Notera på siffrorna nedan att det inte pågår någon DDOS just nu, då handlar trafiken om miljontals anrop från dessa länder på ett dygn, ofta utan att avsluta HTTPS-sessionerna, utan att hålla dem öppna för att sänka servern. Cloudflare cachar dock det mesta, men det räcker att tillräckligt många procent av tiotals miljoner kommer igenom för att hänga en server. Vid anfall kan man också gå in och höja säkerheten i Cloudflare så all trafik får en challenge, vilket före jag satte upp de geografiska reglerna löste problemet inom tio minuter, kombinerat med att jag manuellt fick köra skill på alla hängande serverprocesser. Utan att manuellt skjuta ner de hängda processerna brukade det ta ca 30 minuter att få igång trafiken igen efter bot protection aktiverades.

Nu är det på grund av de skärpta brandväggsreglerna några år sedan ett lyckat anfall gjorts mot bloggen och när det begav sig tror jag det värsta anfallet sänkte bloggen typ en timme, varav 30 minuter pga att jag var offline och inte märkte något. Det hela går iaf att avstyra via mobiltelefonen.

En timme är ungefär som angrepp mot andra publika sajter eller tjänster. Irriterande, men ett övergående problem med någon timmes verkan i värsta fall. Allvarlighetsgrad: gå och ta en kaffe i väntan på att tjänsten börjar fungera igen. Då har man ändå med rysk cyberkrigföring att göra. Man ska inte ignorera hotbilden, för att det tar så kort tid att stoppa angrepp beror på ständigt aktivt arbete.

Andra kommer igenom ändå och försöker registrera konton, men blockeras mot nyregistrering av konton, där USA är i särklass största hotet i försök att registrera konton när övriga ovan mestadels blockerats bort.

Som rikt land finns det förstås mycket enheter att kapa i USA, men även förmodligen gott om SEO-skurkar också, såväl som amerikanska hackers.

AI kommer bara öka angreppen och missbruken av bloggen, liksom mot alla andra Internettjänster, och det är ett ständigt arbete att motarbeta detta. Sten-sax-påse pågår ständigt i alla professionella driftsmiljöer och av den anledningen är cyberhot inte så allvarliga som en del gör gällande – för det jobbas hela tiden med dem och att 97% av trafiken från utanför Väst avvisas som illegitim visar på detta.

Upprepar att du inte behöver registrera ett konto för att läsa bloggen, och om du registrerar ett konto och inte skriver en kommentar som godkänns, så kommer kontot inom kort automatiskt raderas.

Lite allmänn trafikstatistik via Cloudflare.

Senaste veckan har bloggen haft 376 820 unika besökare, som gjort 14 060 000 anrop, fördelat på 2 190 000 sidor, och laddat ner 908 GB data.

Fördelningen av trafiken är ganska exakt 50% desktopdator och 50% mobil eller surfplatta.

Webläsarna ChromeMobile, Chrome och MobileSafari är ungefär lika stora.

Telia är med 3 260 000 anrop största Internetoperatören, följt av Tele2 med 1 780 000 anrop, Bahnhof med 1 470 000, Telenor med 1 250 000 och Bredband2 med 580 000. Visar på hur omfattande Telenors köp av Bahnhof är.

Mest lästa artikeln senaste veckan är Ukraina: Ryska Afipskji-raffet bombat – Ukraina kan tillverka 300 drönarrobotar per dygn med 106 000 visningar följt av Ukraina: Ozons största ryska lager bombat, kemiskt lager i Nyen nedbrunnet – rysk vapengömma hittat utanför Berlin med 105 000 visningar. Samtliga veckans Ukrainaartiklar ligger rätt stabilt på drygt 100 000 visningar på en vecka, undantaget dagens artikel som inte varit ute ens ett halvt dygn än. Förstasidan har visats 802 000 gånger så grovt räknat står förstasidan plus Ukrainaartiklarna för 1 500 000 av 2 190 000 sidvisningar på en vecka.

För faktisk loggning som jag använder dagligen och på finare nivå körs Javascriptbaserade Matomo, som körs i användarlagret som Javascript i din webläsare och som laddar upp din aktivitet på bloggen till bloggens server. Denna data delas inte. Cloudflares loggning sparas inte mer än en vecka, men sker på transportnivå inte användarnivå. Trafiken enligt Matomo är ungefär 50% av den som Cloudflare loggar, vilket visar att ungefär hälften av läsarna medvetet eller omedvetet blockerar sådan Javascriptspårning i sina webläsare. Cloudflares trafik är dock den riktiga och undantar inget. Och sidanropen inkluderar inte Matomoanrop, vilket annars kunde förklarat 100% skillnad. Man kan misstänka att även uppåt 50% även blockerar reklamen och innebär uteblivna intäkter.

Upprepar – har du av någon anledning registrerat ett konto på bloggen, vilket tre personer gjort idag utan att kommentera, skriv en kommentar, annars kommer kontot automatiskt att raderas inom en kort tidsperiod. Du behöver inte registrera dig för att läsa bloggen – bloggen är gratis att läsa, registrering krävs bara för att kunna kommentera.

Med det önskas härligt fredagsmys.