Historia pewnego spamu.

Dzisiejszy dzień w pracy zaczął się jak zwykle od rzutu oka na maile. Jeden z jak się okazało ciekawszych został w pierwszej chwili zignorowany. Ot, spam jakich wiele. Tyle, że warszawska restauracja i załącznik w PDF. Ale po chwili zaczęły na niego odpowiadać kolejne osoby, więc pojawił się mały WTF w głowie. Pojawiły się też informacje, że lista adresatów jest zbieżna z uczestnikami PLNOG.

Faktycznie, o pomyłce nie mogło być mowy. Rzut oka w źródło ujawnił 470 (sic!) maili w polu To, lista na oko zbieżna z uczestnikami PLNOG. Pojawiła się informacja, że maile może zebrane z wizytówek, ale szybko upadła, bo okazało się, że część ludzi nie dzieliła się wizytówkami, część w ogóle nie dotarła na konferencję… Tak, autor spamu wysłał go do 470 osób, z których pewnie większość zajmuje się zawodowo zwalczaniem spamu i nieźle zna prawo, na dodatek to podając pełną bazę adresów email. Mniej więcej odpowiednik śpiewania Legia, Legia, kur… (polecam obejrzeć, jeśli ktoś nie zna tej wersji ;-)) w obecności grupy kibiców Legii.

Być może sprawa rozeszłaby się po kościach, bo podejście było od suchego „nie wyrażałem zgody na przetwarzanie danych, proszę o usunięcie z listy” po humorystyczne komentarze ale autor spamu postanowił się pogrążyć i zamieścił szybkie „przeprosiny”, którymi dolał oliwy do ognia. Otóż obwieścił on, że przeprasza, a pracownik, który pobrał bazę z forum został już zwolniony. Przypominam, że napisała to osoba wysyłająca maila, a przynajmniej podpisana pod nim. Po około 90 minutach od początkowego spamu. Oczywiście wszyscy „uwierzyli” w tak szybkie działanie i „wyciągnięcie wniosków” (szczególnie, że znów poszło do wszystkich z jawnym To ;-)), parę osób zainteresowało się, cóż to za forum, gdzie takie wesołe bazy są zamieszczane… Ups numer jeden.

W międzyczasie zareagował – w przeciwieństwie do spamera przytomnie i sensownie – organizator konferencji, który po chwili zamieścił uczciwą (i jak widzę aktualizowaną) informację na stronie. Wyszło na jaw (nie wnikam jak, w każdym razie szybko, ale jak się organizuje konferencje dla bezpieczników i sieciowców, to się ma kontakty), że baza została prawdopodobnie wykradziona. Ups numer dwa.

Finał jest taki, że aktualne obwieszczenie w sprawie wycieku bazy maili głosi:

Z pewnością zostaną wyciągnęte konsekwencje wobec sprawcy, a sprawa została skierowana do prokuratury.

Z niecierpliwością czekam na finał, pewnie nie tylko ja… Z tego co rozmawiałem ze znajomymi, i co widać było w wątku, większość osób miała po prostu niezły ubaw, ale spamer chyba wolałby gołym zadem na gnieździe szerszeni usiąść, niż wysłać tego maila. Oraz, odnośnie reagowania na wtopę i zarządzania sytuacją kryzysową: w przeprosinach nie warto kłamać.

Taki wpis związany ze spamem, który ostatnio zaprząta moją głowę i zamiast podsumowania PLNOG, o którym z braku czasu nie napiszę tym razem nic więcej, poza tym, że było fajnie, ciekawie i jak zwykle cieszę się, że byłem.

Automatyczne wykrywanie spamu na Blox.

Trochę z rozpędu po ostatnim spojrzeniu na beznadziejną captchę na Blox, trochę zażenowany brakiem działania administratorów Blox w tak wydawałoby się prostej sprawie, trochę chcąc odkurzyć stare skrypty i znajomość Perla, trochę ze względu na zainteresowaniem tematem spamu, a w końcu trochę dla zabawy, postanowiłem zrobić przymiarkę do automatycznego wykrywania spamu na Blox. Chodzi o określanie, czy dany blog służy wyłącznie spamowaniu, oczywiście automatycznie, a co za tym idzie nie ze stuprocentową pewnością.

Administratorzy zapowiedzieli, że captcha zostanie poprawiona w kwietniu (trzymam za słowo i liczę na to, zapewne nie tylko ja), więc spamblogów nie powinno od tej pory przybywać. Zatem postanowiłem skupić się nie na liście nowozałożonych blogów, tylko na liście nowych wpisów, czyli aktywnych spamblogach. Co prawda pierwotny plan zakładał przeiterowanie się po wszystkich blogach i określenie prawdopodobieństwa, czy jest to spamblog, ale nie znalazłem niestety listy wszystkich blogów na Blox. Owszem, można próbować robić rzeźbę pod tytułem „przeiterujmy się po tagach”, ale nadal nie daje to gwarancji uzyskania listy wszystkich blogów – wystarczy, że ktoś nie taguje i system nie dotrze do jego bloga, więc stanęło na tym, że obserwuję listę nowych wpisów i stamtąd biorę dane. Przy okazji oceniam nie tyle cały blog, co poszczególne wpisy, co może być przydatne.

Podejście pierwsze – pobierz i oceń. Na samym początku stwierdziłem, że będę pobierał wpis do oceny i oceniał na podstawie arbitralnych kryteriów. Pomysł szybko upadł – zmiany w algorytmie oceniania powodowały niekompatybilność z poprzednimi danymi, a zmiany były konieczne – wychodziły coraz to nowe kryteria i ich wagi. Wersjonowanie algorytmu przy ocenie nie pomagało, bo dane były tracone. OK, nie jest to wszystko aż tak proste, jak się wydawało na początku.

Podejście drugie – pobierz i zapisz jak najwięcej cech wyróżniających dla danego wpisu/bloga, a potem pomyśli się nad algorytmem. No niestety, zapisywanie dużej ilości danych może być ciekawe, szczególnie, że potem można sięgnąć do wiedzy ze studiów i określić poziomy istotności poszczególnych parametrów (albo popytać kumpla o gotowca, może jeszcze ma…). Wytrenuje się AI na próbce kontrolnej, a potem AI sama zrobi resztę. Brzmi fajnie, ale trochę overkill, poza tym, mało odporne na dołożenie kolejnych parametrów, gdyby przyszło mi do głowy ich wyciąganie.

Podejście trzecie, aktualne,kompromisowe – pobierz i zapisz istotne (wybrane arbitralnie przeze mnie) cechy wyróżniające dany wpis. Osobny skrypt ma algorytm procentowy, każda cecha może przyjmować wartości 0-100% prawdopodobieństwa bycia spamem. Następnie w zależności od ilości cech wylicz prawdopodobieństwo dla całego wpisu przy pomocy średniej ważonej. Rezultaty są dość interesujące.

Tutaj lista blogów (praktycznie nikt nie korzystał, więc wywaliłem), które sklasyfikowałem jako spamerskie z prawdopodobieństwem 80% i więcej. Format prawdopodobieństwo bycia spamem (%), spacja, link do bloga. Nie widzę (szybko patrząc) żadnego false positive, a wy? Aktualnie jest takich blogów 375 na 2404 wszystkich sprawdzonych blogów. Jasne, nie jest to cud techniki, ale przy dodaniu pewnych prostych whitelist myślę, że można spokojnie blokować automatem wszystkie blogi z prawdopodobieństwem od 70% w górę.

Szczegółów badanych cech oraz algorytmu nie chcę na razie opisywać, bo po co spamerzy mają się bronić? Jak będzie utrudnione zakładanie nowych blogów, to pomyślę o tym. Na razie cały czas zbierają się dane… Gdyby byli chętni do przeglądania wyniku w celu wychwytywania false positive’ów (wpisujcie miasta, które przeglądają ;-)), to mogę pomyśleć o wystawianiu listy spamów automatem co jakiś czas.

Całość napisana oczywiście w Perlu, główny moduł zbierający z użyciem WWW::Mechanize (genialna sprawa do crawlerów).

UPDATE: Drobny update statystyk z dnia 27.04.2012 – 13481 unikatowe blogi (wcześniej chyba były unikatowe wpisy, ale mniejsza), w tym 1094 do natychmiastowego wycięcia (80% i więcej). Dla porządku 70% i więcej to 2438 sztuki. Listy nie zamieszczam, bo zainteresowanie było znikome. A captcha nadal nie została poprawiona, choć koniec kwietnia…