Halbherziges Spam-Canceln bei news.individual.de

[Michael Pachta]

Seit einiger Zeit postet ein Spambot bekanntlich von einer KI
konstruierte Threads in diverse Gruppen. Bekannt sind mir:

de.talk.tagesgeschehen
de.soc.misc
de.rec.sport.misc

Ich nutze news.individual.de. Mir fällt auf, dass zwar Postings des Bots
gecancelt werden, allerdings nur ein gewisser Teil dieser Postings. Der
Rest bleibt stehen. So zeigt mir mein TB es in de.soc.misc aktuell noch
1609 Postings an, ab dem 15.10.2023, allesamt Spam-Postings, wie ich
vermute. Ich habe nicht jedes einzelne geprüft, aber da die Gruppe
vorher tot war, dürfte meine Annahme korrekt sein.

Es werden in den o.g. Gruppen zwar regelmäßig Postings gecancelt, aber
viele bleiben stehen. nur ein Beispiel aus dtt vom 25.10.2023:
<d6b4567f-e@a66-4f00-97a9-8ce7a2b8e325>

Das Posting bildet zusammen mit einem zweiten den Rest eines Threads.
Warum bleiben diese Posting stehen? Sitzt da bei Individual ein armer
Mensch, der den Müll händisch canceln muss? Wie hierzugroup bereits
gesagt wurde, haben alle Spampostings gemein, dass im
Injection-Info-Header der String "abavia.com" vorkommt, also ein allem
Anschein nach hinreichendes Filterkriterium aufweisen. Das müsste sich
doch automatisieren lassen. Oder woran liegt es?

[Volker Englisch]

Michael Pachta schrieb am 27.10.2023:
> Seit einiger Zeit postet ein Spambot bekanntlich von einer KI
> konstruierte Threads in diverse Gruppen. Bekannt sind mir:
>
> de.talk.tagesgeschehen
> de.soc.misc
> de.rec.sport.misc

Die Groups lese ich normalerweise nicht. Aber: Selbst ist der Mensch:
In slrn war es sehr einfach, den Mist zu filtern. Das kann TB bestimmt
auch.

Vollkasko gibt's halt nur für Autos ;-)

[Michael Pachta]

Am 27.10.2023 um 23:31 schrieb Volker Englisch:
> Michael Pachta schrieb am 27.10.2023:
>> Seit einiger Zeit postet ein Spambot bekanntlich von einer KI
>> konstruierte Threads in diverse Gruppen. Bekannt sind mir:
>>
>> de.talk.tagesgeschehen
>> de.soc.misc
>> de.rec.sport.misc
>
> Die Groups lese ich normalerweise nicht.

Ich auch nicht. Ich habe sie abonniert, als ich hierzugroup den
Hinweis auf die aktuell immer noch laufenden Spam-Attacken erhielt, um
die Sache zu beobachten. Dabei fiel mir das mit den unvollständigen
Canceln auf.

[Lars Gebauer]

Am 28.10.2023 um 09:54 schrieb Michael Pachta:
> Am 27.10.2023 um 23:31 schrieb Volker Englisch:
>> Die Groups lese ich normalerweise nicht.
>
> Ich auch nicht. Ich habe sie abonniert, als ich hierzugroup den
> Hinweis auf die aktuell immer noch laufenden Spam-Attacken erhielt, um
> die Sache zu beobachten.

"Ich habe die Gruppen abonniert um mir die Spam-Wellen anzuschauen"
beschreibt den Niedergang des Usenet irgendwie auch ganz gut.

Das Äquivalent zu Verkehrsunfällen: Eigentlich will man das gar nicht
sehen aber den Blick abwenden geht irgendwie auch nicht.

--
„Von den vergrämten Nazis sehr alter Jahrgänge bis zu den jugendlichen
Schwärmern, dazwischen Knallrote, die mal vorübergehend als Laubfrosch
im Fasching gegangen sind.“ Beschreibung des Spektrums der Grünen 1980,
Rheinischer Merkur 28.3.1980

[Ray Banana]

Also sprach "Peter Heirich" <talk....@info21.heirich.name>



> Folgt über abuse keine Reaktion, geht es weiter.
> Fremdcancel mit der Begründung "Msg-Id defekt, kein '@' mißachtet RFC
> 822 6.1 bzw. RFC 2822 3.6.4 S. 23"
> sind m.E. völlig i.O. und würde ich automatisch genau auf diese Basis
> erzeugen.

Da gibt es schon was von ra^WEternal-September und anderen:
Nennt sich NoCeM und steht in news.lists.filters zur Verfügung.
Bei Interesse kann ich die Quasselbot-Artikel auch aus der normalen
SPAM-Lieferung herausnehmen und in eine eigene Kategorie "bot" packen.

PS: Ich hatte diese Woche bez. dieses Spam eine Unterhaltung mit dem
"CEO" dieses Servers. Er war freundlich, aber desinteressiert ;-)

--
Пу́тін — хуйло́
http://www.eternal-september.org

[Volker Englisch]

Andreas Kohlbach schrieb am 27.10.2023:

> Wie? Gibt es eine Regex, die slrn und vielleicht anderen Reader kennen
> sollten?

Regex? Viel einfacher:

|[*]
|Score: = -9999
| Organization:.*abavia.com.*

Funktioniert hier zumindest perfekt ;-)

[Andreas M. Kirchwitz]

Volker Englisch <eh...@selene.inka.de> wrote:

>>> Die Groups lese ich normalerweise nicht. Aber: Selbst ist der Mensch:
>>> In slrn war es sehr einfach, den Mist zu filtern. Das kann TB bestimmt
>>> auch.
>>
>> Wie? Gibt es eine Regex, die slrn und vielleicht anderen Reader kennen
>> sollten?
>
> Regex? Viel einfacher:
>
>|[*]
>|Score: = -9999
>| Organization:.*abavia.com.*
>
> Funktioniert hier zumindest perfekt ;-)

Das funktioniert zwar, kostet aber Zeit, wenn das Keyword
nicht bereits Teil der Overview-Daten des Servers ist.

Grüße, Andreas

[Volker Englisch]

Korrekt. Beim eigenen Newsserver ist es jedenfalls weniger als eine
Sekunde.

[Andreas M. Kirchwitz]

Volker Englisch <eh...@selene.inka.de> wrote:

>>>> Wie? Gibt es eine Regex, die slrn und vielleicht anderen Reader kennen
>>>> sollten?
>>>
>>> Regex? Viel einfacher:
>>>
>>> |[*]
>>> |Score: = -9999
>>> | Organization:.*abavia.com.*
>>>
>>> Funktioniert hier zumindest perfekt ;-)
>>
>> Das funktioniert zwar, kostet aber Zeit, wenn das Keyword
>> nicht bereits Teil der Overview-Daten des Servers ist.
>
> Korrekt. Beim eigenen Newsserver ist es jedenfalls weniger als eine
> Sekunde.

Bei Deinem eigenen Newsserver mag das so sein, bei meinem eigenen
dauert es einen spürbaren Moment, bei Individual ist es vermutlich
aufgrund der großzügigen Haltezeiten eine Geduldsprobe.

Da es hier ja um Individual ging, würde ich meinen, dass der
vorgeschlagene Filter keine uneingeschränkt schlaue Lösung ist,
die jeder ungeprüft nachmachen sollte.

Grüße, Andreas

[Volker Englisch]

Andreas M. Kirchwitz schrieb am 29.10.2023:
> Volker Englisch <eh...@selene.inka.de> wrote:
>
>>>>> Wie? Gibt es eine Regex, die slrn und vielleicht anderen Reader kennen
>>>>> sollten?
>>>>
>>>> Regex? Viel einfacher:
>>>>
>>>> |[*]
>>>> |Score: = -9999
>>>> | Organization:.*abavia.com.*
>>>>
>>>> Funktioniert hier zumindest perfekt ;-)
>>>
>>> Das funktioniert zwar, kostet aber Zeit, wenn das Keyword
>>> nicht bereits Teil der Overview-Daten des Servers ist.
>>
>> Korrekt. Beim eigenen Newsserver ist es jedenfalls weniger als eine
>> Sekunde.
>
> Bei Deinem eigenen Newsserver mag das so sein, bei meinem eigenen
> dauert es einen spürbaren Moment, bei Individual ist es vermutlich
> aufgrund der großzügigen Haltezeiten eine Geduldsprobe.

Sollte der Newsclient defaultmäßig nicht nur _neue_ Beiträge abrufen?
Slrn macht das IMHO so. Werden natürlich die letzten 50000 Postings
gescannt, dauert das. Klar.

> Da es hier ja um Individual ging, würde ich meinen, dass der
> vorgeschlagene Filter keine uneingeschränkt schlaue Lösung ist,
> die jeder ungeprüft nachmachen sollte.

Keineswegs. Aber es ist eine Lösung, die selbst bei meinem 9600 bps
Zugriff funktioniert.

[Martin Klaiber]

Ray Banana <ray...@raybanana.net> wrote:

> PS: Ich hatte diese Woche bez. dieses Spam eine Unterhaltung mit dem
> "CEO" dieses Servers. Er war freundlich, aber desinteressiert ;-)

Seit Freitag, 3.11., ca. 14 Uhr kommt bei mir kein Chat-Spam von abavia
über die FU-Berlin mehr rein. Zumindest nicht in den Gruppen, in die
der Bot zuvor gepostet hatte.

Filtert die FU nun mehr oder gibt es einen anderen Grund? Oder ist der
Spammer nun einfach in anderen Gruppen aktiv?

Danke, Martin

[Ray Banana]

* Martin Klaiber wrote:
> Seit Freitag, 3.11., ca. 14 Uhr kommt bei mir kein Chat-Spam von abavia
> über die FU-Berlin mehr rein. Zumindest nicht in den Gruppen, in die
> der Bot zuvor gepostet hatte.
>
> Filtert die FU nun mehr oder gibt es einen anderen Grund? Oder ist der
> Spammer nun einfach in anderen Gruppen aktiv?

Der Chatterbot-Spam hat eher zugenommen. Heute hat E-S bisher 3203 Artikel
von Abavia geblockt und NoCeMs verschickt. Ob und wie NIN filtert, weiß ich
nicht.

[Heiko Schlichting]

Martin Klaiber <usenet....@gmx.de> wrote:
> Filtert die FU nun mehr [...]?

Ja. Wir versuchen es mal mit einer UDP-artigen Sperre für abavia und
google. Mal sehen, ob der Kollateralschaden erträglich ist.

Heiko

[Martin Klaiber]

Danke! Bei abavia sind mir noch keine Kollateralschäden aufgefallen.

Von google fehlen bei mir lokal (leafnode) hin und wieder ein paar
Artikel, z.B. folgender in de.etc.sprache.deutsch:

<1e2e11be-8bd1-4b33...@googlegroups.com>

Ich habe gerade mal mit telnet auf news.fu-berlin nachgeschaut, wenn
ich keinen Fehler gemacht habe, sieht es so aus, als würde der Artikel
bei euch auch fehlen, also kein lokales Problem bei mir:

martinkl@maurice:~$ telnet news.fu-berlin.de 119
Trying 130.133.4.12...
Connected to news.fu-berlin.de.
[...]
group de.etc.sprache.deutsch
211 64354 1013087 1079165 de.etc.sprache.deutsch
article <1e2e11be-8bd1-4b33...@googlegroups.com>
430 No such article
quit
205 .
Connection closed by foreign host.

Der Artikel ist von Ulf Kutzner, das ist zwar ein eigenwilliger Mensch,
aber sicherlich kein Spammer.

Oder habe ich Dich missverstanden und Du meintest, dass ihr jetzt alles
von google blockt?

Martin

[Andreas M. Kirchwitz]

Martin Klaiber <usenet....@gmx.de> wrote:

> Der Artikel ist von Ulf Kutzner, das ist zwar ein eigenwilliger Mensch,
> aber sicherlich kein Spammer.

Google ist schon seit Jahren ein verantwortungsloser Anbieter,
der dem Usenet mehr schadet als nützt, und leider sind Leute,
die weiterhin Googles Newsserver nutzen, ein Teil des Problems.

Grüße, Andreas

[Ray Banana]

* Martin Klaiber wrote:
> Heiko Schlichting <he...@cis.fu-berlin.de> wrote:
>> Martin Klaiber <usenet....@gmx.de> wrote:
>
>>> Filtert die FU nun mehr [...]?
>
>> Ja. Wir versuchen es mal mit einer UDP-artigen Sperre für abavia und
>> google. Mal sehen, ob der Kollateralschaden erträglich ist.
>
> Danke! Bei abavia sind mir noch keine Kollateralschäden aufgefallen.
>
> Von google fehlen bei mir lokal (leafnode) hin und wieder ein paar
> Artikel, z.B. folgender in de.etc.sprache.deutsch:
>
> <1e2e11be-8bd1-4b33...@googlegroups.com>

> Oder habe ich Dich missverstanden und Du meintest, dass ihr jetzt alles
> von google blockt?

So würde ich eine "UDP-artige Sperre" interpretieren.

Ich habe eben mal eine kurze Auswertung meiner Filter vorgenommen und komme
bei über Google verschickten Artikeln auf ziemlich genau 94% (93,96) Spam über
alle Hierarchien.

[Lutz Beck]

Ray Banana wrote:

>Ich habe eben mal eine kurze Auswertung meiner Filter vorgenommen und komme
>bei über Google verschickten Artikeln auf ziemlich genau 94% (93,96) Spam über
>alle Hierarchien.

BTW: neuere ISP-Nummer (von heute) desselben Gaming-Spammers:

103.14.250.60 => Phnom Penh

Lutz

[Heiko Schlichting]

Martin Klaiber <usenet....@gmx.de> wrote:
> Oder habe ich Dich missverstanden und Du meintest, dass ihr jetzt alles
> von google blockt?

Ja, das meinte ich mit "UDP-artige Sperre".¹ Das bedeutet nicht, dass
wirklich ausschließlich Spammer auf diesen Servern sind, sondern diese
Nutzer fallen unter Kollateralschaden. Gerechtfertigt ist das m.E.
erachtens, wenn der Betreiber nicht die erwarteten oder nötigen Maßnahmen
ergreift, um die spammingen Artikel zu verhindern.

Man kann vielleicht darüber streiten, ob das bei den beiden genannten
Servern wirklich der Fall ist. Völlig abwegig ist diese Annahme aber
angesichts der aktuellen Situation nicht, würde ich mal so sagen.

Heiko

¹ https://en.wikipedia.org/wiki/Usenet_Death_Penalty

[Heiko Schlichting]

Martin Klaiber <usenet....@gmx.de> wrote:
> Oder habe ich Dich missverstanden und Du meintest, dass ihr jetzt alles
> von google blockt?

Ja, das meinte ich mit "UDP-artige Sperre".¹ Das bedeutet nicht, dass
wirklich ausschließlich Spammer auf diesen Servern sind, sondern diese

Nutzer fallen unter Kollateralschaden. Gerechtfertigt ist das meines
Erachtens, wenn der Betreiber nicht die erwarteten oder nötigen Maßnahmen

[Martin Klaiber]

Ray Banana <ray...@raybanana.net> wrote:

> Ich habe eben mal eine kurze Auswertung meiner Filter vorgenommen
> und komme bei über Google verschickten Artikeln auf ziemlich genau
> 94% (93,96) Spam über alle Hierarchien.

Das ist schon krass viel. Kannst Du auch feststellen, wie hoch der
Anteil in de.ALL ist? Ich vermute, da ist er geringer.

Danke, Martin

[Martin Klaiber]

Heiko Schlichting <he...@cis.fu-berlin.de> wrote:
> Martin Klaiber <usenet....@gmx.de> wrote:

>> Oder habe ich Dich missverstanden und Du meintest, dass ihr jetzt alles
>> von google blockt?

> Ja, das meinte ich mit "UDP-artige Sperre".¹

> ¹ https://en.wikipedia.org/wiki/Usenet_Death_Penalty

Ah, ok, danke, die Abkürzung kannte ich nicht. Ich dachte an das
UDP-Protokoll und wusste nicht, was Du meinst.

> Das bedeutet nicht, dass wirklich ausschließlich Spammer auf diesen
> Servern sind, sondern diese Nutzer fallen unter Kollateralschaden.
> Gerechtfertigt ist das meines Erachtens, wenn der Betreiber nicht
> die erwarteten oder nötigen Maßnahmen ergreift, um die spammingen
> Artikel zu verhindern.

Wie ist denn die Situation im Falle von abavia? Kann man als user
direkt dort posten oder läuft das alles über reseller, und falls
letzteres, sind die ebenfalls alle unseriös?

> Man kann vielleicht darüber streiten, ob das bei den beiden genannten
> Servern wirklich der Fall ist. Völlig abwegig ist diese Annahme aber
> angesichts der aktuellen Situation nicht, würde ich mal so sagen.

Ich kann es auch nicht einschätzen. Ist ja auch noch ganz neu. Aber
mir sind schon ein paar löchrige Threads aufgefallen, wo mir dann
Infos aus fehlenden Artikeln fehlten. Nicht immer, das hängt auch
davon ab, wie gut/sinnerhaltend der Antwortende zitiert hat.

Ich filtere lokal hier u.a. ja auch google und abavia, aber erst im
Newsreader, der die Artikel auf gelesen setzt. D.h. wenn ich doch
mal nachschauen möchte, was in einem gefilterten Artikel steht, dann
konnte ich bisher immer im "gelesenen" Artikel nachschauen. Das geht
nun nicht mehr.

Ich behelfe mir im Moment so, dass ich die MID des fehlenden Artikels
aus den References heraussuche und bei Howard Knight eingebe.

Aus Deiner/Eurer Perspektive kann ich die Maßnahme aber verstehen.

Martin

[Martin Klaiber]

Ich verstehe das Problem. Aber sollte man dann nicht einen Hinweis in
dcp.usenet oder dcp.misc absetzen, oder in die google-FAQ aufnehmen?
Oder sogar einen eigenen Info-Artikel, wer wen blockt?

Wenn die Leute nicht wissen, dass sie geblockt werden, suchen sie sich
vermutlich auch keinen neuen news-Zugang, außer es spricht sich mit der
Zeit herum.

Martin

[Ulf Kutzner]

Laß Dir gesagt sein, Du bist ein anderer Teil des Problems.

[Marc Haber]

Andreas hat Recht. Da gibt es nur wenig zu diskutieren.

Grüße
Marc
--
-------------------------------------- !! No courtesy copies, please !! -----
Marc Haber | " Questions are the | Mailadresse im Header
Mannheim, Germany | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 621 72739834

[Ulf Kutzner]

Marc Haber schrieb am Donnerstag, 9. November 2023 um 10:52:51 UTC+1:

> Ulf Kutzner <Ulf.K...@web.de> wrote:

> >Laß Dir gesagt sein, Du bist ein anderer Teil des Problems.
> Andreas hat Recht. Da gibt es nur wenig zu diskutieren.

Beweis durch Behauptung. Und dreimal darfst Du raten,
ob ich den ausgerechnet mit Dir durchzudiskutieren
geneigt bin.

[Bettina Fink]

Hallo,

Heiko schrieb:

>> Oder habe ich Dich missverstanden und Du meintest, dass ihr jetzt alles
>> von google blockt?
>
> Ja, das meinte ich mit "UDP-artige Sperre".¹ Das bedeutet nicht, dass
> wirklich ausschließlich Spammer auf diesen Servern sind, sondern diese
> Nutzer fallen unter Kollateralschaden. Gerechtfertigt ist das meines
> Erachtens, wenn der Betreiber nicht die erwarteten oder nötigen Maßnahmen
> ergreift, um die spammingen Artikel zu verhindern.

Wir sind hin und her gerissen. Es ist natürlich absolut nicht ok,
was da von Abavia und Google kommt, es macht Gruppen buchstäblich
unbenutzbar und kaputt, und die Betreiber haben das zu unterlassen
bzw. zu unterbinden.

Andererseits gibt es ja durchaus Nutzer, die die Dienste auch legitim
benutzen und vielleicht auch gar nicht wissen und mitbekommen, was da
um sie herum passiert bzw. nicht passiert.

Nun kann man sagen, dass das nicht unser Problem ist, um die legitimen
User drumherum zu arbeiten (und es macht viel Arbeit, die Server nicht
einfach komplett abzuklemmen im Feed), aber es trifft trotzdem Leute,
die nichts dafür können, es vielleicht nicht mal wissen, und selbst wenn
man sagt, das ist deren Problem, führt es trotzdem zu zerfledderten
Threads und Nachfragen, was ja auch nicht schön ist.

Wir versuchen es jetzt noch mal anders und haben seit gestern etwas
konfiguriert, was Artikel von Google grundsätzlich durchlässt, aber
nicht in allen Gruppen. Zusätzlich laufen natürlich weiterhin die
normalen Tools und Filter.

Der neue Ansatz ist intern nicht unumstritten (einerseits sieht man
wie gesagt nicht ein, mit sehr viel Mühe um den Spam herum zu arbeiten,
und man nimmt damit ja auch Druck von den Betreibern, andererseits
möchte man ja nicht zu große Kollateralschäden in Kauf nehmen und
einen Artikelbestand wie ein Schweizer Käse haben), aber wie gesagt,
wir versuchen es jetzt erst mal so.

Es ist keine perfekte Lösung (es macht Arbeit, es muss jetzt erst mal
eingespielt und nachjustiert werden, d.h. in manchen Gruppen wird jetzt
wieder Google-Spam kommen, bis wir die gefunden und für Google-Artikel
gesperrt haben), es erzeugt eine Mischsituation, die von aussen
verwirrend und unlogisch aussehen kann (wieso erscheinen meine Artikel
in Gruppe x, aber nicht in Gruppe y usw.), und eigentlich sind wir
auch ziemlich genervt von der Situation und wollen, dass Google und
Abavia sich um den Mist kümmern und das nicht an den Nutzern und
anderen Serverbetreibern hängenbleibt, aber es ist zumindest ein
Versuch, einen Mittelweg zu finden.

Falls das nicht zufriedenstellend klappt bzw. zu viel Arbeit macht,
müssen die Artikel halt wieder komplett ausgefiltert werden ...

Bettina

[Stefan Froehlich]

On Sat, 11 Nov 2023 16:44:35 Bettina Fink wrote:
> Der neue Ansatz ist intern nicht unumstritten (einerseits sieht
> man wie gesagt nicht ein, mit sehr viel Mühe um den Spam herum zu
> arbeiten,

Das verstehe ich.

> und man nimmt damit ja auch Druck von den Betreibern,

Aber das bezweifle ich, wenigstens für Google. Oder gibt es
tatsächlich Hinweise darauf, dass es dort relevant ist, ob und
wie breit verteilt die eigenen Poster im Usenet gelesen werden
können?

Servus,
Stefan

--
http://kontaktinser.at/ - die kostenlose Kontaktboerse fuer Oesterreich
Offizieller Erstbesucher(TM) von mmeike

Stefan konnte schon immer mehr als Spaß machen!
(Sloganizer)

[Marc Haber]

Mit Dir kann man eh nicht diskutieren. Dir geht es darum, um jeden
Preis das letzte Wort zu haben, und deswegen hier EOD.

[Ulf Kutzner]

Marc Haber schrieb am Sonntag, 12. November 2023 um 16:56:26 UTC+1:

> kann man eh nicht diskutieren. Dir geht es darum, um jeden
> Preis das letzte Wort zu haben, und deswegen hier EOD.

Du wolltest belegen, daß Du eine Knalltüte bist?

Dürfte Dir wieder einmal gelungen sein, Herr Rechthabenwoller.