Merkwürdige Request auf Webseite?
Seit Wochen beobachte ich merkwürdige Zugriffe auf unserer Webseite, die alle nach dem gleichen Schema ablaufen. Aufgerufen wird per GET eine URL mit einer 16-stelligen zufälligen Zeichenkette bestehend aus a-zA-Z0-9-_
Hier ein Beispiel:
/NbYAjXdqxs-mbfoS
Es wird immer nur von Root ausgegangen oder mit einer Sprache, die wir in der URL kodiert haben, wie bspw.
/en/d4qUgT1iiu0jAVud
Andere oder tiefere URLs werden nicht von diesen Bots aufgerufen.
Die IPs kommen aus aller Welt und da ist kein Schema zu erkennen. Vermutlich übernommene Recher aus einem Bot-Netz.
Die Aufrufe sind auch nicht sonderlich aggresiv und es gibt meist nur einen oder zwei Request pro Minute. Das ganze läuft dann meist ein paar Stunden und es wird dann die selbe Zeichenkette verwendet. Dass die Zugriffe alle mit 404 oder 403 beantwortet werden, stört den Bot offenbar nicht.
Meine Frage ist jetzt, ob jemand eine Idee hat, was da genau dahinter steckt? Ich kann da keinen Sinn dahinter erkennen aber vielleicht hat schon jemand was über diese Masche gehört.
2 Antworten
Merkwürdig. Vielleicht dienen die Codes als Erkennungsmerkmal für einen kompromittierten Server. Heißt durch eines dieser Codes wird entweder ein weiterer "Bot" im Netz erkannt oder eben ein C2. Durch das ständige Scannen aller möglichen Webseiten können dann so neue Teilnehmer im Botnet ausgemacht werden und ggf. an der Kommunikation teilnehmen. Die zufälligen Codes werden dann genutzt um das etwas zu obfuscaten.
Kann auch andere Gründe geben, bspw. können das auch ganz normale Pings sein und die zufälligen Buchstaben sind nur dazu da um die Response durch ein 404 möglichst klein zu halten, sodass man nicht die normale Seite anfragt.
Oder jemand hat einen kaputten URL Shortener und die Codes vom Shortener werden warum auch immer einfach in der URL mitgenommen.
Also Pings und Shortener würde ich eher ausschließen. Deine erste Idee mit dem Scannen auf möglicherweise kompromittierte Server hatte ich auch. Dagegen spricht aber, dass da die Frequenz von 1 bis 3 Requests pro Minute und IP zu hoch ist und so keinen Sinn macht. Auch könnte sich ein übernommener Server ja selbst melden, was weniger Aufmerksamkeit erzeugt als vorher das ewige Scannen.
Es bleibt merkwürdig.
Scheint so, als ob jemand deinen Server scannt und versucht, sich ggf zugriff zu verschaffen. Deswegen der scan nach verschiedenen resourcen auf dem Server.
Würde mal sowas wie ein IPS dazwischen schalten.
Die Seite nach Schwachstellen zu scannen ist ja grundsätzlich nichts besonderes. Das kann ja jeder Scriptkiddie machen.
Aber die Art des Zugriffs spricht doch für eine andere Intention. Es wird ja immer eine 16-stellige zufällige Zeichenfolge abgefragt und dann auch stundenlang immer die selbe Zeichenfolge. Was soll damit erreichet werden?
PS: Mir geht es jetzt erst mal nicht um die Abwehr des ganzen. Ich will nur verstehen, was damit bezweckt wird.