Hi Sandlover,
im Allgemeinen glaube ich nicht, dass wir das auf uns persönlich beziehen sollten. Wir sind für die zwar eine Zielgruppe, aber uns persönlich haben sie sich nicht herausgepickt. Sowas ist quasi ein digitaler Amoklauf: jeder im Radius kann zum Opfer werden.
Das Interesse dürfte letztlich zumeist kommerzieller Natur sein, wenn oft auch erstmal indirekt:
Irgend jemand lässt einen frisch gestrickten Bot los, um Daten zu sammeln (für seinen SEO-Service, seine KI-Trainigsdaten, seine Suchmaschine, seine Doktorarbeit). Oft ungetestet bei den Einstellungen, höchstens optimiert auf
„ICH will MEINE Daten möglichst JETZT haben.“
Was so ein Massen-Scan auf Serverseite auslösen kann ist denen egal, bestenfalls unbekannt. Ein Qualitätscheck aus Netzwerk-Perspektive ist erstmal uninteressant und Zeitverschwendung.
Bots im „Regelbetrieb“ verhalten sich nicht so extrem rücksichtslos. Die wollen möglichst unter dem Radar bleiben.
Nach der erfolgreichen Abwehr der laufenden DDOS-Attake konnte ich dann auch sehen, dass anscheinend einer von denen auf die Seite gekommen ist, um zu sehen, warum sie nur Schrott (also die Login-Seite) eingesammelt haben. — Da hat sich wohl ein Kunde beschwert, dass die Qualität der Daten nicht dem Wunsch entsprochen hat. — So ein Pech!
Die IP kam von den Seychellen, was für einen interaktiven Nutzer recht ungewöhnlich ist.
Allerdings ist beachtenswert, weil es gegen das oben genannte „Pauschal-Szenario“ spricht:
Das Abgrasen kam aus der ganzen Welt, für jeden einzelnen Zugriff eine eigene IP und selten aus einem bei der Aktion zuvor genutzten Netz.
In diesem Fall war das ein großes Bot-Netz, das auch Adressen der großen europäischen Internet-Zugangsanbieter und Starlink mit nutze. — Also auch gehackte Geräte (z.B. Fritzboxen, TVs, Netzradios, etc.) wurden hier zum Einsatz gebracht.
Beim Wüstenschiff habe ich die Einbindung von Endverbraucher-Internet-Zugangsanbietern zuvor kaum gesehen. — Daher schließe ich für diese DDOS-Attacke den schnöden SEO- oder Suchmaschinen-Datensammler aus. Da hat jemand tatsächlich Geld in die Hand genommen und die teuer gebuchte Botnetz-Nutzungszeit bestmöglich ausgenutzt, unter illegaler Nutzung von Drittgeräten.
Dabei war nicht nur das Wüstenschiff im Fokus, sondern mit Sicherheit auch viele andere Webseiten. — Jede IP wurde bei uns nur einmal verwendet. Deren jeweilige Kapazität wird aber bei anderen Sites sicherlich auf ähnliche Weise weiter genutzt!
Wegen diesem BotNetz war das Problem dann auch nicht mit dem sonst üblichen Sperren von IP-Netzen einzudämmen. Daher nun eine andere, effektivere Lösung, zugeschnitten für unser Wüstenschiff.
Da ich mit dem heutigen Patch keine Nachteile für die interaktiven Nutzer mehr sehe, werde ich die IP-Sperr-Listen demnächst etwas bereinigen. Die meisten der mit Sperren addressierten Probleme werden durch die neue Lösung erschlagen.
So, ich hoffe, ich habe euch nicht mit diesem Text erschlagen.
Gruß,
°Daniel
