Bilan d’étape de la résistance aux fringales des IA dégénérées :
– La recherche est réactivée , réservée aux connectés
– Le pare-feu est confis de plus de 400000 adresses IP bloquées, ce qui fait chauffer le firewall comme j’ai rarement vu (ça génère de l’iowait...)
– Et en somme, tout fonctionne... jusqu’à preuve du contraire !
Merci à b_b pour son assistance :-)
Effectivement, c’est très fluide. Bravo la team !
Merci :)
(cette nuit vers 3h, impossible d’aller sur seenthis, mais je sais pas si c’est lié)
A 3h du mat’, y-a la sauvegarde de mariadb. J’ignorais que ça rendait le site injoignable. Il faudra vérifier ce qu’il se passe.
Je viens de mettre à jour l’ipset (►https://ipset.netfilter.org/ipset.man.html).
Il s’agit du regroupement de toutes les IPv4 bloquées par fail2ban.
J’ai utilisé la commande aggregate pour regrouper les blocs d’IPv4 quand cela est possible (▻https://www.systutorials.com/docs/linux/man/1-aggregate)
On obtient les effectifs suivants par cidr :
3 25
5 26
11 27
37 28
317 29
3093 30
30438 31
386535 32Mais au total, donc, nous avons ce matin 463967 adresses IPv4 bloquées par cet ipset dans iptables. Cela permet de n’avoir qu’une seule ligne à gérer dans le firewall pour bloquer toutes ces IP, ça économise quelques ressources.
Le fichier au format ipset est téléchargeable à l’adresse suivante :
▻https://www.partagerfichier.fr/download/2025-03-26-08-39-47_botnet-set.zip
D’autres personnes doivent avoir déjà ce type de ressource à disposition. N’empêche que je nous crois veinards d’avoir cette sorte de bug, dans SeenThis, qui fait qu’il a été si facile de repérer ce botnet (cf. mon autre fil à ce sujet). OK, ça fait sans doute des semaines qu’on aurait pu remarquer ces URI foireuses dans les journaux... mais comme je le dis bien trop souvent, ce serveur est trop vieux pour le connecter aux solutions de journalisation modernes !
Un ipset, ça s’utilise à priori aussi avec les solutions modernes de firewall sur Linux. Mais là, sur SeenThis, on est des vieux, et on utilise iptables.
Pour charger le fichier, on utilise la commande :ipset restore -file ./botnet-set
Pour l’ajouter dans iptables, on utilise la commande :iptables -A INPUT -m set --match-set botnet-set src -j DROP
Cette dernière ligne doit s’insérer dans la chaîne de filtrage de votre firewall, que vous connaissez mieux que moi. Elle dépend de votre système.
cette nuit vers 3h
Cette nuit à 3 heures, c’était donc @fonkisifou qui était de quart pour qu’il y ait quelqu’un d’actif sur Seenthis 24h/24 pour pouvoir réagir rapidement au dernier truc nazi posté sur Touiteur par Elon ou Donald.
🤣
Ils en postent trop, si je veux tout lire (et éventuellement partager mais vous êtes bien plus rapide que moi), j’ai plus le temps de dormir
Je pense que l’un des sites que j’administre (un site d’artisans d’art sous WP) est victime de bot IA pour voler leurs œuvres.
Si quelqu’un a une idée pour bloques ces 💩…
La liste des 460K IP est exploitable aussi sans accès au pare-feu de la machine, mais c’est moins efficace... Par exemple, dans WP Cerber, il est possible d’importer une liste d’adresses IP en liste noire. Ceci dit, je doute qu’une base de données WP supporte 460K IP. Et en plus, pas besoin d’autant de monde pour faire tomber un WP... Mais tu peux toujours essayer. Note que par défaut, les sites WP laissent les robots bourriner certaines URL (xml-rpc.php par exemple), alors qu’elles ne servent à rien d’utile et qu’il vaut mieux ne rien répondre, et griller l’IP qui bourrine. WP Cerber sait faire ce genre de choses.
Effectivement, c’est bien là que ça tape.
Ah oui. J’ai répondu sur un ou deux fils que j’ai vu passer sur Mastodon, en envoyant jusqu’à ce post ici. Le fichier des IP a été téléchargé 8 fois. C’est pas à ce rythme qu’on va sauver l’Internet des humains :-))
Là, là, l’ours traverse les frontières.
Ca continue de frapper à la porte, le botnet continue d’émettre des requêtes bidons, et de nouvelles adresses IP se font choper. Le décompte ce matin est de 475284 IPv4 à bloquer.
Le serveur n’a jamais été aussi peu sollicité que depuis que ces IP sont bloquées.
Cela mériterait de faire une étude sur l’origine de ces adresses.
Je commence par rétablir l’accès aux moteurs de recherche (actuellement 748 IP bloquées). Puis je rétablirai l’accès public à la recherche. On pourra vérifier les deux effets.
Charge processeur sur un an. L’accalmie à droite, c’est la semaine qui vient de se passer. Le serveur n’a jamais été aussi peu sollicité, comme je le disais.
C’est très confortable de pouvoir poster ou rechercher sans regarder le bousin tourner dans le vide pendant des plombes.
Est-ce que j’ai bien compris : ce que tu bloques, ce sont les IP qui appellent une URL erronée typique du crawler qui ne sait pas interpréter <base href> ?
Auquel cas ce bot aurait fabriqué son propre honey trap, ce qui serait assez rigolo…
Oui, c’est exactement ça. C’est rigolo.
Sinon, est-ce que 500 000 IP différentes ça signifie 500 000 machines ? Et d’après ce que tu as indiqué une fois, ces IP ne sont pas géolocalisées dans un seul pays (Chine), mais partout dans le monde.
Si c’est le cas, de quoi parle-t-on ? D’un service d’IA qui a des fermes de machines dans plein de pays différents ? Ou de l’utilisation d’un réseau de machines piratées (comme on le ferait pour une DDOS classique), ce qui me semble autrement plus grave.
(C’était un de mes commentaires à propos de « 6 millions de dollars » qu’aurait coûté Deepseek : c’est (au moins) en ne comptant pas les dégâts que ces crawlers infligent aux sites Web, au temps que passent les gens qui, comme toi, perdent des semaines à essayer d’éviter que leur machine soit submergée… et pour le coup, l’utilisation de 500 000 machines connectées – des fois qu’on paie pour ces machines.)
Une vraie enquête d’un journaliste spécialisé pourrait répondre à certaines de ces questions. Je pense qu’on est dans un entre deux, machines piratées, et VPS achetés dans des datacenters du monde entier.
Il faudrait, par exemple, donner à manger toutes ces IP à un ElasticSearch, avec les options d’analyses de geoip. Pas le temps de le faire. Mais si un curieux souhaite le faire, c’est la raison pour laquelle j’ai publié la liste.
J’ai rouvert la recherche en accès public tout à l’heure.
Les processeurs sont à nouveau fortement sollicités par le firewall (processus ksoftirqd).
Le botnet est toujours à la recherche de contenus et sa porte d’entrée sur SeenThis est bien le formulaire de recherche. Et comme il reste des IP non-bloquées, à chaque fois qu’il parvient à effectuer une recherche, il tente à nouveau de récupérer les pages présentes dans le résultat de la recherche.
Les non-inscrits peuvent toujours utiliser les moteurs de recherche externes, donc pour moi, c’est très bien que ça ne fonctionne que pour les inscrits.
Constatation : ça rame un peu aujourd’hui.
Si ça peut être utile :
►https://arstechnica.com/ai/2025/03/devs-say-ai-crawlers-dominate-traffic-forcing-blocks-on-entire-countrie
Software developer Xe Iaso reached a breaking point earlier this year when aggressive AI crawler traffic from Amazon overwhelmed their Git repository service, repeatedly causing instability and downtime. Despite configuring standard defensive measures—adjusting robots.txt, blocking known crawler user-agents, and filtering suspicious traffic—Iaso found that AI crawlers continued evading all attempts to stop them, spoofing user-agents and cycling through residential IP addresses as proxies.
(source : ▻https://piaille.fr/@jfmblinux@mastodon.jfmblinux.fr/114228268167821495)
Effectivement, en faisant quelques sondages à la main dans le fichier de Biggrizzly, j’ai constaté qu’il y avait énormément d’IP géolocalisées au Brésil. (Mais pas que…)
Qu’est-ce que signifie cette phrase :
use residential IP addresses as proxies
Il me semble que le seul moyen d’utiliser l’IP de quelqu’un d’autre, c’est de pirater sa machine, non ? Ou bien il y a un service (au Brésil notamment) qui permet à n’importe qui de « louer » une partie de son traffic (façon Tor) à quelqu’un d’autre. M’enfin Tor c’est déjà pas super-rapide, alors si c’est utilisé pour que des centaines de milliers de robots crawlers aspirent le Web en continu, ça ne me semble pas viable.
Il se peut que ces plages d’IP soient achetables et exploitables à d’autres fins que pour la fournir à des particuliers. Je ne suis pas suffisamment au fait de ce fonctionnement.
Il se peut aussi que les Alexa et autres GAFAM boxes puissent être utilisées depuis les lignes de leurs possesseurs. Il y a une vraie enquête à mener, pour un journaliste qui aurait du temps.
350 téléchargements depuis ce matin, mais tjs pas de retour comme quoi c’est utile ou pas. Le suspens est rude :-)
En général quand ça sert ou que ça fonctionne, personne ne dit rien, par contre si il y a des erreurs ça chouine toujours.
Peut-être que les IA ont chargé ta liste pour s’autocongratuler parce que ça leur manquait un petit merci :))
En fait, tu l’auras compris, je me demande vraiment si ce botnet est celui qui enquiquine tant de monde, ou bien si ce botnet n’a enquiquiné que nous ici sur SeenThis. Ne pas avoir de retour des autres plateformes qui délivrent du contenu humain, c’est un petit peu anxiogène (le terme est évidemment trop fort), je ne peux pas croire qu’un milliardaire ait pu décider de ne s’attaquer qu’à SeenThis et à rien d’autre.
Ceci dit, je conçois que la mise en œuvre d’un tel outil (ipset) ne soit pas naturelle, les admins Linux n’ont pas forcément l’habitude d’écrire leur script de firewall par eux même, et donc, intercaler ce fichier dans leur chaîne de filtrage, il se peut qu’ils aient quelques difficultés...
Patientons...
@biggrizzly vuex-tu que j’en cause dans ce fil du forum CHATONS ? ►https://forum.chatons.org/t/mise-a-mal-des-forges-git-par-les-indexeurs-dia/7086
Tu peux évidemment transmettre l’information. :-)
J’ai à nouveau coupé la recherche.
Les logs ce matin sont confis de ce genre de lignes :
47.243.89.37 - - [27/Mar/2025:08:31:14 +0100] "HEAD /recherche?lang=it&oc=publishedmedium%3Athe+new+york+times&tag=%23etats-unis HTTP/1.1" 499 0 "-" "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/71.0.3
715.131 Safari/537.36" 7.007
8.210.189.26 - - [27/Mar/2025:08:31:14 +0100] "HEAD /recherche?lang=it&oc=company%3Atwitter&tag=%23facebook HTTP/1.1" 499 0 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3454.99 Safari/537.36
" 7.007
47.243.78.44 - - [27/Mar/2025:08:31:14 +0100] "HEAD /recherche?lang=it&oc=country%3Aarabie+saoudite&order=stars&tag=%23actualit%C3%A9 HTTP/1.1" 499 0 "-" "Mozilla/5.0 (Windows NT 6.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/7
4.0.3151.125 Safari/537.36" 7.006
8.218.91.49 - - [27/Mar/2025:08:31:14 +0100] "HEAD /recherche?lang=it&oc=publishedmedium%3Athe+calvert+journal&tag=%23sovi%C3%A9tisme HTTP/1.1" 499 0 "-" "Mozilla/5.0 (Windows NT 6.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/6
8.0.3228.89 Safari/537.36" 7.006
47.243.173.250 - - [27/Mar/2025:08:31:14 +0100] "HEAD /recherche?lang=it&oc=country%3Asyrie&order=stars&tag=%23crise HTTP/1.1" 499 0 "-" "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/73.0.3772.109 Safa
ri/537.36" 7.008
113.169.149.42 - - [27/Mar/2025:08:31:15 +0100] "HEAD /recherche?lang=it&oc=region%3Aproche-orient&order=stars HTTP/1.1" 499 0 "-" "Mozilla/5.0 (Windows NT 6.2; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/71.0.2673.104 Safari/537
.36" 7.008
14.226.227.212 - - [27/Mar/2025:08:31:15 +0100] "HEAD /recherche?lang=it&oc=country%3Asuisse&order=stars&tag=%23in%C3%A9galit%C3%A9s HTTP/1.1" 499 0 "-" "Mozilla/5.0 (Windows NT 6.2; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65
.0.2157.125 Safari/537.36" 7.007
14.191.251.98 - - [27/Mar/2025:08:31:15 +0100] "HEAD /recherche?lang=it&oc=region%3Aproche-orient&order=stars&tag=%23arabie_saoudite HTTP/1.1" 499 0 "-" "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/74
.0.2948.79 Safari/537.36" 7.010
14.186.27.36 - - [27/Mar/2025:08:31:15 +0100] "HEAD /recherche?lang=it&oc=country%3Achine&order=stars&tag=%23crise HTTP/1.1" 499 0 "-" "Mozilla/5.0 (Windows NT 6.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/63.0.2143.188 Safari
/537.36" 7.001
14.182.205.145 - - [27/Mar/2025:08:31:15 +0100] "HEAD /recherche?lang=it&oc=city%3Avilleneuve&tag=%23metro HTTP/1.1" 499 0 "-" "Mozilla/5.0 (Windows NT 6.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/67.0.3927.130 Safari/537.36"
7.006Et j’ai l’impression que le botnet a appris à suivre les liens correctement.
Hier à 11h, j’ai rétabli la recherche en public. La charge a augmenté immédiatement.
Puis ce matin à 7h, le flux s’est accéléré, saturation à nouveau des processus FPM, erreurs 502, gateway time out, le botnet s’est mis à tenter d’exploiter correctement les URL (d’après les logs, ça commence, mais ce n’est pas encore vraiment la grosse réussite...).
Et donc, ce matin, 8h30, je coupe la recherche publique, et ça va mieux. Ouf.
@biggrizzly j’ai relayé ici ▻https://framapiaf.org/@infini/114230785785284048 et je m’en vais faire de même sur le forum des CHATONS.
L’impression qu’on tente chacun dans son coin des solutions...
Le coup du crawler « MSIE », c’est géré sur SeenThis par une mise en fail2ban quasi-immédiate. Plus personne normalement ne navigue sur Internet avec MSIE, ces navigateurs ne fonctionnent pas avec le web moderne.
J’ai tenté d’extraire les pays des IP, mais j’ai procédé de la mauvaise façon, je dois avoir grillé notre IP de l’accès aux whois pour 150 ans... Il faudrait procéder autrement... avec un serveur plus récent. C’est toujours la même histoire, on en arrive toujours à la même conclusion. :-)
je viens d’essayer « à la main » sur les 3 premières adresses en nb d’occurrences, j’obtiens Bagdad et Minais Gerais ou Porto Alegre au Brésil.
Je ne sais pas ce que ça donne en téléchargeant les BdD ad hoc (faut créer un compte…)
EDIT : sur les 10 premières (1009 accès au total) : 2 à Bagdad, les 8 autres divers États du Brésil.
Vous vous souvenez, j’ai réactivé la recherche pendant un certain temps, pour la couper à nouveau.
Hier, donc, vers 8h30, j’ai coupé la recherche. Et vers 16h30, la charge a recommencé à monter. Raisonnablement. Mais tout de même. Jusqu’à 19h, où tout est revenu à la quasi-normale.
Dans ce délai, ce sont 21000 nouvelles adresses IP qui se sont ajoutées à toutes les autres.
Quand la recherche est active, il accumule des dizaines de liens à visiter. Et il obtient apparemment de nouvelles IP à exploiter, pour faire son travail. Et il tente d’avaler les URL, donc, sous un délai de 8h.
Le botnet n’a pas encore appris de ses erreurs. Tant mieux.
SeenThis est-il un réseau social, ou bien un honeypot ?
Amha tu peux laisser la recherche bloquée, à mins que tu ne souhaites étoffer la liste d’IPs pour l’exploiter ailleurs ;)
J’ai reçu un retour positif, suite au partage de l’ipset. Un seul. Pour le moment. J’ignore si d’autres ont eu du succès, en l’exploitant. Le suspens reste entier.
Tu m’as compris, oui, je pense qu’à intervalle régulier, je vais rouvrir la recherche. Pour compléter l’ipset. On doit s’approcher des 500K IP. C’est un objectif séduisant, d’atteindre les 500K.
Philippe Catherine, on te voit !
géolocalisation des ID (trois premiers octets de l’IP v.4)
sur la version du 26/03 au soir
(ma première recherche associative sur une table d’environ 3 millions de lignes – sur 3 feuilles de calcul XL – un peu de bidouille…)
Ça confirme ce que disait l’article de Ars Technica :
►https://arstechnica.com/ai/2025/03/devs-say-ai-crawlers-dominate-traffic-forcing-blocks-on-entire-countrie
Kevin Fenzi, a member of the Fedora Pagure project’s sysadmin team, reported on his blog that the project had to block all traffic from Brazil after repeated attempts to mitigate bot traffic failed.
C’est un botnet issu des pays non-occidentaux qui ont de nombreux utilisateurs. Le Brésil est un des pays les plus développé du sud.
Bloquer le pays tout entier quand il suffit de bloquer 61K IP, c’est excessif, mais pourquoi pas.
Joli travail Simplicissimus, c’est très parlant, finalement.
C’est peut-être le Vo1d mentionné ici ▻https://thehackernews.com/2025/03/vo1d-botnets-peak-surpasses-159m.html
et tant qu’à faire (la moitié des ID du total, quand même)
mais, sans grand intérêt car ça doit être plus ou moins directement lié au nombre de machines sur le réseau…
(mais, chance !, le fond de carte des États du Brésil fait partie des quelques fonds d’exemple de Magrit ;-)
Ça répond à la question « est-ce que ce sont des connexions résidentielles ou bien des datacenters ? » Non pas qu’il ne puisse y avoir des datacenters au milieu de l’Amazonie, mais, qu’en plus ces datacenters proposent des VPS à la location, j’ai comme un doute.
Hier vers 16h30, à nouveau, jusqu’à 19h30, hausse de la charge, et 10000 nouvelles IP bloquées.
A nouveau : Hier vers 16h30, à nouveau, jusqu’à 19h30, hausse de la charge, et 10000 nouvelles IP bloquées.
J’ai mis à jour, avant ces 10K nouvelles IP, le contenu de l’ipset.
Je suis heureux de vous annoncer que nous avons dépassé les 500K IP.
5 25
5 26
10 27
43 28
397 29
3687 30
34384 31
417850 32Cette nuit, 17h-22h, +2400 IP seulement.
NbCIDR CIDR NbIP/CIDR NbIP
5 25 128 640
5 26 64 320
21 27 32 672
103 28 16 1648
574 29 8 4592
4430 30 4 17720
37985 31 2 75970
441454 32 1 441454
TOTAL 543016je ne suis pas sûr de comprendre ton tableau ; j’imagine que c’est lié à la gestion de l’adressage. J’ai jeté un œil sur ce que représente le CIDR (WP[en]) et je suis reparti en courant… En tous cas, je ne vois pas quel type d’information je pourrais y exploiter.
questions :
• disposes-tu d’un historique de l’arrivée des requêtes (nb de nouvelles IP collectées en f. du temps) avec une granularité pas trop grosse et régulière
• as-tu fabriqué une version plus récente de ton fichier de botnet ?
/32 = 1 seule IP 0.0.0.0
/31 = 2 IP 0.0.0.0 + 0.0.0.1
/30 = 4 IP 0.0.0.0-3
etc.
Si j’écris 10.2.3.0/30, je désigne les 4 IP de .0 à .3
Si j’écris 10.2.3.0/25 ; je désigne les 128 IP de .0 à .127
J’ai copié les logs de fail2ban des 3 dernières semaines. Je tâche d’en extraire ce qui t’intéresse dans un format exploitable.
J’ai un botnet-set à jour généré ce matin... Je vais le publier dans la journée.
Voici un fichier avec l’ensemble des blocages, par date, heure et IP (/32).
Il y a des IP qui vont apparaître plusieurs fois, parce que fail2ban plantait et recommençait à traiter les IP de zéro.
▻https://www.partagerfichier.fr/download.php?f=2025-04-03-17-47-11_blocages.log.gz
Ça commence au 14 mars, vers 21h, quand j’ai mis en œuvre la règle de détection du botnet.
merci ! pas loin de 700 000 lignes
pas sûr que je le traite tout de suite, j’ai une fin de semaine bien chargée
Même wikimedia a du mal à gérer le traffic généré par les bots de l’IA... «monde de merde»
▻https://next.ink/178942/les-crawlers-des-ia-deviennent-un-serieux-probleme-pour-le-web-meme-pour-wikim
pfff… ça rame !
je ne sais pas si c’est ST ou par chez moi, où le réseau est parfois bien pourri.
pas facile de se retrouver entre les deux billets sur le sujet ; si en plus, tu supprimes tes messages ;- )
comme dit plus haut, je ne suis pas très à l’aise avec les CIDR, mais oui, les /24, comme tu dis, sont ce que j’ai appelé les ID, il me semble que cela suffit pour assurer la correspondance des IP aux régions et c’est ça que j’ai cartographié.
j’avais utilisé les /32 (IP complètes) sur l’autre fil pour voir si les machines étaient concentrées sur un serveur /24, en fait je comptais le nombre de d utilisés dans un a.b.c pour fabriquer la distribution ▻https://seenthis.net/messages/1105923#message1106100
La dernière liste d’IP bloquées est ici :
▻https://seenthis.net/messages/1105923#message1107718
Ceci dit, la liste des blocages, les 700K lignes, est tout autant exhaustive.
Pourquoi disais-tu que ça rame ? Le serveur est vraiment en confort ces jours-ci. La charge oscille entre 0,5 et 1,5, ce qui fait que même les bots peuvent tranquillement faire leur boulot sans se faire bloquer (dès que la charge dépasse 2, et qu’ils sont reconnus comme des bots, ils sont bloqués).
Je fais l’hypothèse qu’il s’agit d’un botnet, qui se diffuse sur des terminaux compromis. Aussi, il faudrait dans l’idéal que je libère les IP au fil du temps, pour confirmer que l’IP est toujours compromise... parce que les terminaux, si ça s’trouve, changent d’IP. Et dans un tel cas, bloquer les IP n’est pas bien fiable.
Pourquoi disais-tu que ça rame ?
Apparemment, c’était chez moi.
peu de changement entre les deux situations
les cartes sont pratiquement indistingables
le Brésil garde la tête – de loin ! – mais n’augmente pas beaucoup
derrière, l’ordre change un peu : forte progression de Russie et Turquie qui passent en 2 et 3
les suivants, Argentine, Maroc et Mexique ne montent que peu.
Le botnet s’est complété ce WE de quelques 300K IP supplémentaires.
Ça a commencé vendredi à 18h. Et ça continue à plein régime encore maintenant. La règle de filtrage est toujours efficace, mais le firewall avec les 300K entrées individuelles a du mal à supporter la charge, aussi, les 300K entrées vont être transférées dans le botnet, et tout va rentrer dans l’ordre, au sens où la machine devrait travailler légèrement moins.
Du coup, ça a ramené la charge de la machine au dessus de 2, ce qui est le moment où les bots (user agents reconnus comme tels) reçoivent des erreurs 429, et s’ils insistent, ils sont bloqués par fail2ban. Ces bots représentent au bout de 48 heures entre 950 et 1000 adresses IP seulement.
A présent, donc :
5 /25
20 /26
73 /27
249 /28
1634 /29
10826 /30
70278 /31
641759 /32
TOTAL : 846931+110K depuis hier soir, on s’approche du million.
Je fais l’hypothèse que les terminaux compromis sont sur des connexions sans IP fixe, et que les baux sont en cours de renouvellement.
Je fais aussi l’hypothèse que le botnet se répand, mais il ne semble pas être plus intelligent, il se répand donc à version identique, du fait qu’il continue à réclamer des ressources invalides.
9 25
30 26
104 27
373 28
2277 29
14332 30
84805 31
720765 32TOTAL : 978287On s’approche du million :-)
Tjs pas le million :-))
984 462
La moisson du WE a été bonne. 20846 nouvelles IP attrapées par fail2ban. Nous devrions donc dépasser le million lors de la prochaine mise à jour de l’ipset :-)
Ça fait quand même un million de machines qui s’intéressent à ce qu’on publie sur Seenthis depuis un mois. C’est la gloire…
Autre piste, merdification^x...
What these companies then sell to their customers is network access through the devices/PCs that have an app with this SDK installed. They are proud to tell you how you can funnel your (AI) web scraping etc through millions of rotating, residential and mobile IP addresses. Exactly the pattern we see hitting our servers.
►https://jan.wildeboer.net/2025/04/Web-is-Broken-Botnet-Part-2
@biggrizzly 1 million c’est pas grand chose au final...
Toujours à propos des bots :
As part of a time-limited trial, yesterday we removed the www.bbc.co.uk & www.bbc.com robots.txt “block” on one GenAI crawler.
Here’s a graph of total daily requests from that 1 GenAI crawler by content-type. You’ll note, they’ve retrieved ~460k web pages in ~16 hours, so a mean of ~28,750 web pages per hour. They’ll likely pull ~690k pages today, ~32GB egress.
Whilst this is a drop in the ocean versus our other traffic, I can easily see how this could sink a smaller website.
Et encore..
Ces robots agressifs tentent de parcourir des sites web entiers en peu de temps, ce qui surcharge nos serveurs web et a un impact négatif sur l’expérience des utilisateurs légitimes
Nous bloquons désormais plus de 190 millions d’adresses IP signalées par mois, mais les tentatives d’autres robots pour visiter le site restent une menace existentielle pour la plateforme
▻https://next.ink/186593/les-crawlers-des-ia-menacent-les-sites-scientifiques
On arrive donc à 1 171 134 adresses ipv4 distinctes.
Retour d’expérience de ce matin 15/07 vers 06:23 UTC+2 : ça rame ...
On n’a plus la charge élevée, mais on a encore des groupes d’IP qui saturent les 30 à 40 connexions autorisées sur php-fpm, par instant.
A ces moments précis, on peut en effet se retrouver bloqué quelques instants. Sur le graph ci-dessous, ce sont les barres rouges.
Je découvre qu’il est possible d’interroger la recherche sans être connecté au moyen d’URL détournées.
Exemple :https://seenthis.net/index.php?age=2025-04-07%2B00%3A07%3A28&debut_messages=7200&page=recherche&recherche=chine
C’est ballot.
C’est une des raisons pour laquelle on se retrouve à nouveau avec des blocages.
(ne pas cliquer l’URL ci-dessus, vous risquez de vous faire bloquer l’IP)
> Je découvre qu’il est possible d’interroger la recherche sans être connecté au moyen d’URL détournées.
Bloquer les urls qui comportent page=recherche devrait faire le job, c’est possible de ton côté ?
Alors, j’ai tenté de procéder via nginx, et j’ai cafouillé lamentablement sur les if de nginx et sa syntaxe pourrie et peu documentée. J’ai à coup sûr enquiquiné tout le monde...
Je me suis rabattu sur PHP, en ajoutant les 3-4 lignes nécessaires dans mes_options.php. J’ignore si c’est le meilleur endroit, mais c’est là que j’ai procédé.
Et instantanément, on a gagné en confort.
Et instantanément, fail2ban alimente une nouvelle table de rejet. Pas des milliers d’IP, mais des IP pénibles assurément.
Bonjour,
Je découvre et lis avec intérêt ce fil car je me bat moi-même avec ce genre de souci ... Plusieurs questions/reflexions sur la base de mon travail. Je suis dans la situation de gérer une 30aine de serveurs et j’ai mis en place la chose suivante :
– chaque serveur a fail2ban d’installé
– chaque serveur (cron) m’envoie par email quotidiennement la liste des IP’s bloquées par fail2ban
– je compile manuellement ces IP’s bloquées en une liste commune (une IP/ligne, notation cidr possible) qui est accessible sur un de mes serveurs (derrière un htpasswd)
– sur chaque serveur un script (cron 4h) vient chercher cette liste et mets à jour un ipset dans firewalld, cette mise à jour est dynamique (retrait puis ajout des ip modifiées) ... la modif de l’ipset ne nécessite pas un redémarrage de firewalld, donc en gros dans un délai de 4h tous mes serveurs bloquent la même liste d’IP.
Pour l’instant je mets la liste à jour manuellement, il est assez facile dans le digest de fail2ban de détecter les IP’s qui insistent lourdement (+ de 4 essais) et ça n’est qu’une 30aine de mails, ça me prend une 10aine de minutes ...
Donc fail2ban intercepte ceux qui essayent, 24-48h plus tard les IPs que j’ai identifiées comme malfaisantes sont directement bloquées par le firewalld.
Par contre j’ai utilisé une fois ou 2 des listes existantes et ça m’a posé souci, par ex. le blocage d’un /24 de Google qui a fait que certains sites n’étaient plus du tout indexés ce qui pose souci quand même, c’est un peu pour ça que j’essaye de ne lister que des IP réellement bloquées par fail2ban et je vérifie certaines adresses avec abuseIPdb, ce qui m’amène à une première question :
– pour moi fail2ban bloque les IP qui ont tenté des connexions (SSH, Postfix, etc ...) donc clairement malfaisantes, mais j’ai l’impression à la lecture de ce fil que votre fail2ban bloque des bots qui en général (dans mon expérience) n’essayent pas de se connecter, ils explorent ... comment se fait-il que fail2ban bloque ces IP de bots ?
– mon fichier fait moins de 1000 lignes mais bloque plusieurs millions d’adresses, notation cidr oblige, quand par ex. je commence à avoir 20 lignes qui commencent par xxx.yyy je recherche a qui appartient ce bloc et je le bloque en entier, par ex hier j’ai bloqué 57.128.0.0/9 du DOD américain (j’avais des attaques d’IP leur appartenant), 8 millions d’adresses d’un coup. ... vous dites que votre serveur est vieux mais je suis surpris qu’iptables tienne le coup avec un fichier de plus de 1 million de lignes, c’est bien ce que vous dites ou s’agit-il d’un million d’adresses ? Quelles ont les caractéristiques de ce « vieux » serveur ?
Merci en tous cas pour toutes ces infos intéressantes !
Je tâche de répondre à toutes les questions. Pas de souci pour être relancé évidemment.
– fail2ban permet de créer des règles de filtrage sur mesure. C’est ce que je fais, je crée des jails sur mesure en fonction de ce que j’ai identifié dans les logs comme comportements suspects ou comme code http significatif. Par exemple, si SPIP ou NGINX renvoient une erreur http 444, ça active une jail qui surveille les codes http dans les logs Apache. Il suffit de demander à SPIP ou NGINX de renvoyer un tel code.
– Il s’agit de 1 millions d’adresses /32, mais qui sont regroupées par CIDR pour n’en former à la fin qu’un nombre inférieur, charge à l’IPset de se débrouiller.
– J’évite désormais de regrouper par CIDR à la sauvage, on a eu des mauvaises surprises parfois avec certains blocs partagés entre plusieurs pays, et plusieurs propriétaires... on bloquait des vrais visiteurs légitimes.
– Le serveur est vieux parce qu’il tourne en jessie ; mais c’est une machine virtuelle qui tourne sur un proxmox à jour, en nvme, et tout le toutim, c’est très très très rapide :-) Le fait qu’il soit en jessie (oldoldoldoldoldstable je crois) nous empêche surtout des intégrations avec des outils de journalisation modernes... par exemple.
Encore aujourd’hui, 4 à 5% de temps processeur utilisé par le noyau, par le firewall, donc.
Et ça continue, cette fois c’est les techs de chez osm qui ramassent :
To keep #OpenStreetMap.org up and running while we’re being deluged by scrapers, we’ve blocked 320,000+ primarily residential IPv4 addresses in the last 24 hours (+ 100,000 IPv6) involved in scraping.
▻https://mastodon.roflcopter.fr/@osm_tech@en.osm.town/115973941650213561