Achtung: Globale Klickbot-Attacke!

**Hanzo2012** » 20.04.2015, 21:05 **Achtung: Globale Klickbot-Attacke!**

Hi,

schaut mal in Analytics nach, ob ihr auffällig hohe Klickrate von Besuchern aus dem Netzwerk von xlhost.com habt. Im offiziellen AdSense-Forum häufen sich die Berichte, dass von dort "globale" Klickattacken durchgeführt werden. Die IP-Ranges, von denen die Angriffe kommen, und die ihr blockieren solltet, lauten:

Code: Alles auswählen

64.79.64.0/19
209.51.192.0/19
209.190.70.0/24
209.190.116.0/24
209.190.0.0/17
207.182.128.0/19
206.222.4.0/24
206.222.0.0/19
173.45.64.0/18
173.244.160.0/19

Auch eine meiner Seiten wurde von in den letzten Wochen regelmäßig von diesem Bot besucht, und er hat auch einige Klicks generiert. Mein automatisches Abwehrsystem hat aber hoffentlich Schlimmeres verhindert. Jedenfalls ist es bei mir nicht so extrem wie bei anderen, die von hunderten Klicks berichten.

Rem · **Rem** » 20.04.2015, 23:31 **Achtung: Globale Klickbot-Attacke!**

Was bringt ein Blockieren, wenn so ein Bot ja auch direkt auf die Google-Server zugreifen könnte und z.B. ein paar gefakte Referrer übermitteln könnte? Dito beim Analytics-Spam.

Dann schreibst Du "xlhost.com". Tönt wie eine Hostingcompany. Ich gehe davon aus, man sieht in Analytics "xlhost", aber keine IP Adresse. Dann hat jemand nachgeschaut, welche IP-Adressen nach xlhost auflösen und jetzt soll man überhaupt alle Ranges von xlhost blockieren?

Die einzig logische Konsequenz ist, dass derjenige, der dort seinen Server untergestellt hat, zu einem anderen Anbieter weiterreist. Oder eben - wenn es um die Schandtat geht - Deine Website auch gleich ganz aussen vorlässt.

Ich sehe gar nichts. Ich habe die IP-Adressen eingegeben und die Logs durchsucht und habe in "Networks" in Analytics nach xlhost gesuscht. Vielleicht sind die Attacken schon gezielter?

**Hanzo2012** » 20.04.2015, 23:43 **Achtung: Globale Klickbot-Attacke!**

Rem hat geschrieben:Was bringt ein Blockieren, wenn so ein Bot ja auch direkt auf die Google-Server zugreifen könnte und z.B. ein paar gefakte Referrer übermitteln könnte? Dito beim Analytics-Spam.

Ja, dass das möglich ist und man dagegen nichts tun kann (außer die Seite von der Liste der autorisierten Seiten zu nehmen und die Einnahmen komplett zu verlieren), predige ich schon lange. Google müsste da wirklich nachbessern und engagierten Publishern Möglichkeiten geben, sich zu schützen.* (siehe unten) Zum Glück ist dieser Bot nicht so schlau, sondern generiert scheinbar Klicks über einen virtuellen Browser.

Blockieren kann zudem von vornherein verhindern, dass ein Bot an deine AdSense-IDs gelangt bzw. überhaupt bemerkt, dass du AdSense einsetzt. Ohne die ist eine Attacke ja gar nicht möglich.

Rem hat geschrieben:Dann schreibst Du "xlhost.com". Tönt wie eine Hostingcompany. Ich gehe davon aus, man sieht in Analytics "xlhost", aber keine IP Adresse. Dann hat jemand nachgeschaut, welche IP-Adressen nach xlhost auflösen und jetzt soll man überhaupt alle Ranges von xlhost blockieren?

Ja, es ist ein Hosting-Provider. Aber ich liefere generell keine AdSense-Anzeigen aus, wenn der "Besucher" aus dem Netz irgendeiner Hosting-Firma kommt. Das sind ja in 99% der Fälle nur Bots. Ich habe da z.B. die Amazon und Microsoft-Cloud-Services auf der schwarzen Liste. Natürlich nicht komplett per Firewall/.htaccess sperren, sondern einfach kein AdSense ausliefern.

Rem hat geschrieben:Ich sehe gar nichts. Ich habe die IP-Adressen eingegeben und die Logs durchsucht und habe in "Networks" in Analytics nach xlhost gesuscht. Vielleicht sind die Attacken schon gezielter?

Ja, wenn du betroffen gewesen wärst, hättest du da etwas finden sollen. Möglich, dass vorrangig englischsprachige Seiten angegriffen werden. Im deutschen AdSense-Forum beschwert sich kaum jemand, das englische hingegen ist voll mit Threads dazu.

___________________

* Ein einfacher Schutz wäre zum Beispiel möglich, indem der Webserver für jede Impression einen zufälligen nur für wenige Sekunden gültigen "Autorisierungscode" erzeugt und an Google sowie an den Besucher übermittelt. Der Browser muss diesen Code ebenfalls an Google übermitteln, und wenn er nicht passt, dann bekommt er auch keine Anzeige geliefert und kann keinen Klick generieren. Das löst das Problem, dass man ohne Kenntnisnahme des Publishers beliebig viele Impressionen und Klicks erzeugen kann, denn man muss nun für jede Impression einen neuen Code erhalten, und da man den nicht selber generieren kann, muss man tatsächlich die Seite aufrufen.

Unifex · **Unifex** » 20.04.2015, 23:53 **Achtung: Globale Klickbot-Attacke!**

Hanzo2012 hat geschrieben: Ja, es ist ein Hosting-Provider. Aber ich liefere generell keine AdSense-Anzeigen aus, wenn der "Besucher" aus dem Netz irgendeiner Hosting-Firma kommt. Das sind ja in 99% der Fälle nur Bots. Ich habe da z.B. die Amazon und Microsoft-Cloud-Services auf der schwarzen Liste. Natürlich nicht komplett per Firewall/.htaccess sperren, sondern einfach kein AdSense ausliefern.

Wie machst du das?

**Hanzo2012** » 21.04.2015, 00:00 **Achtung: Globale Klickbot-Attacke!**

Unifex hat geschrieben:
Hanzo2012 hat geschrieben: Ja, es ist ein Hosting-Provider. Aber ich liefere generell keine AdSense-Anzeigen aus, wenn der "Besucher" aus dem Netz irgendeiner Hosting-Firma kommt. Das sind ja in 99% der Fälle nur Bots. Ich habe da z.B. die Amazon und Microsoft-Cloud-Services auf der schwarzen Liste. Natürlich nicht komplett per Firewall/.htaccess sperren, sondern einfach kein AdSense ausliefern.
Wie machst du das?

Ich sammle die IP-Ranges von Hosting-Firmen in meiner MySQL-Datenbank. Die nötigen Informationen findet man z.B. in der kostenlosen GeoIP-Datenbank: https://dev.maxmind.com/geoip/legacy/geolite/ (CSV-Datei speziell für diese Informationen). Suche dort z.B. mal nach "Host Europe GmbH". Du wirst mehrere Einträge finden. Die ersten beiden Spalten stellen die erste bzw. letzte IP-Adresse in der Range dar, im Dezimalformat. Kommt nun ein Besucher, so teste ich, ob seine IP-Adresse einer dieser Ranges entstammt, und wenn ja, dann schalte ich alternative Werbeanzeigen, falls ich welche hinterlegt habe, oder gar keine.
Natürlich kann man nicht sämtliche Hoster der Welt auflisten, aber zumindest die Großen.

Rem · **Rem** » 21.04.2015, 23:14 **Achtung: Globale Klickbot-Attacke!**

Die Frage war natürlich schon, wie gezielt das ablaufen muss. Ich denke, einfach eine Adsense-ID hochzuzählen wäre sinnlos, ohne auch korrekte Referrer durchzugeben. Wobei einige Publisher bestimmt keine Webseiten-Liste bei Adsense eingegeben haben. Da hast Du schon recht!

Zu Deiner Taktik:
Das wird halt problematisch, sobald ein "Hostingprovider" auch ein ISP für Endkunden mit DSL-Modem ist...

Wenn z.B. IP-Adressen, die neu sind und alle 0-10 Sekunden zugreifen keinen Code erhalten? Klar: der eine oder andere Googlebot wäre dann auch draussen... So What.
Aber sowas könnte sich selbst verwalten...

Ich will Dich nicht beunruhigen. Aber mit der richtigen Energie (also einem Botnetz), kann sich der Traffik innerhalb von Sekunden auch verhundertfachen. Sowas habe ich schon erlebt. Da drunter waren IPs von Elsevier oder auch die IP einer australischen Knabenschule.

Diese IP und Hostinganbieter-Argumentation zieht dann nicht mehr...
Weil es auf einen Schlag tausend IP-Adressen gibt, die Z.B. 10-20 fachen Trafik über dem Normnutzer erzeugen.

Dann bist Du immer einen Schritt hintendran, weil die Spammer hundertfach zugreifen - z.B. nur um eine alte Wordpress-Installation zu finden. Grauslich sowas.