¿Qué hacen los robots de spam con intentos de inicio de sesión ininteligibles?

Estos inicios de sesión pueden ser el resultado de spambots que se burlan unos de otros. Este escenario no me parece tan inverosímil:

1. El webmaster configura un foro web para realizar pruebas
2. El webmaster se olvida de que él incluso lo hizo y lo deja seguir corriendo en algún espacio web olvidado
3. SpambotA encuentra el foro y decide divertirse con él. Crea toneladas de cuentas con nombres y contraseñas aleatorias y publica spam optimización de motores de búsqueda.
4. Se descubrió una falla de seguridad crítica en el software del foro que permite leer los nombres de usuario y las contraseñas de la base de datos. Se insta a los webmasters a que instalen el parche lo antes posible, pero a nuestro webmaster no le importa.
5. SpambotB aparece, corta el foro usando esa vulnerabilidad y obtiene los datos de inicio de sesión
6. Al no darse cuenta de que estos no son inicios de sesión legítimos, SpambotB intenta las mismas combinaciones de nombre de usuario y contraseña en otro foro, porque las personas tienden a usar los mismos nombres de usuario y contraseñas en diferentes sitios web.

La respuesta simple es que es probable que sean combinaciones reales de nombre de usuario / contraseña extraídas de ataques en otros sitios. Las listas de contraseñas contienen todo tipo de caracteres y palabras extrañas y maravillosas que puede que no esperes, pero el hecho de que estén allí significa que están en uso, o al menos han estado en uso.

Estos robots de spam simplemente están tratando de forzar al usuario a pasar / pasar espacio en su sitio y en millones de otros.

Hay tantas posibilidades para las contraseñas de apariencia aleatoria, cualquier explicación única será pura especulación. Sin embargo, es seguro asumir que lo más probable es que se hayan obtenido de cuentas en varios servidores comprometidos.

Basándome en las contraseñas de ejemplo que enumeró en su pregunta original, me inclino a pensar que son hashes codificados en base64 o contraseñas generadas por máquina.

Veamos esas contraseñas de nuevo:

[password] => 2454HIYQYH
[password] => 4xi82JfkbS
[password] => CKNSC58E3U

Hashes

Cualquier sistema de autenticación respetable hace hash de sus contraseñas en lugar de almacenarlas en texto plano. Si las "contraseñas" anteriores son hashes, obviamente no están codificadas en hexadecimal, porque (1) contienen letras distintas de a-f y (2) una de ellas incluso contiene mayúsculas y minúsculas. Pueden estar codificados en base64, y tal vez incluso estén truncados a 10 caracteres. Truncarlos aumenta la posibilidad de una colisión, pero el diseñador del sistema puede haber pensado que el hash truncado todavía era lo suficientemente seguro.

Contraseñas generadas por máquina

Hay varias razones por las que pueden ser contraseñas generadas por una máquina.

1. Algunas personas usan generadores de contraseñas (ya sea el software o el generador de contraseñas aleatorias de "carga en el teclado"), y los caracteres alfanuméricos de mayúsculas y minúsculas de 10 caracteres se consideraron seguros durante mucho tiempo.
2. Algunas empresas asignan contraseñas que el usuario no puede cambiar
3. Los robots de spam del foro pueden haber generado las cuentas (como sugiere Philipp)
4. Muchos sitios web crearán una contraseña predeterminada para usted, que se restablecerá cuando active su cuenta.

En este momento, el # 4 es mi explicación favorita, solo porque personalmente me he registrado en docenas o cientos de sitios que luego me enviaron por correo electrónico y me pidieron que activara mi cuenta haciendo clic en un enlace y / o iniciando sesión con un Contraseña predeterminada que se envió en el correo electrónico. Es muy probable que muchas cuentas con estas contraseñas predeterminadas hayan sido creadas por personas que no activaron sus cuentas o que fueron creadas por 'bots' que no pudieron activar las cuentas porque no tenían acceso a las cuentas de correo electrónico que usaban. para el registro.

Nombres de usuario de apariencia aleatoria

Si volvemos a ver los nombres de usuario en las combinaciones de nombre de usuario y contraseña, también parecen generados:

[username] => BKujXjbL
[password] => 2454HIYQYH

[username] => Antiretewssar
[password] => 4xi82JfkbS

[username] => a
[password] => CKNSC58E3U

Nuevamente, hay muchas explicaciones posibles para esto, pero aquí hay algunas:

1. Algunas empresas asignan nombres de usuario
2. Los nombres de usuario se recopilaron junto con las contraseñas asociadas (posiblemente de una base de datos del foro 'infestada por bots, como sugiere Philipp]
3. Se recolectaron los nombres de usuario, pero se están probando todos los nombres de usuario con todas las contraseñas recolectadas y quizás con otras contraseñas basadas en diccionario o fuerza bruta (aunque mencionó que no ha visto muchas contraseñas basadas en diccionario) )

No creo que sea tan simple como los bots que intentan iniciar sesión, pero los bots que intentan explotar los formularios web en general con fines de SEO, que también detectarán los formularios de registro / inicio de sesión.

Las cadenas pueden servir como un identificador único generado para identificar el sitio / página que el bot intenta explotar.

El motivo de que los bots utilicen estas cadenas sin sentido puede ser consultar los mismos valores en los motores de búsqueda más adelante para determinar qué sitios van a funcionar para las explotaciones de SEO más adelante sin revelar su "sitio web del cliente". Al consultar en google, bing, yahoo, etc., "BKujXjbL" aparecería si ese objetivo específico fue exitoso o no, en lugar de decir "viagraiscoolyadda.com" en los registros de los objetivos que no funcionan.

Algunos pueden usar métodos más inteligentes para rellenar los formularios que encuentra, hacer coincidir los tipos de datos, como correos electrónicos válidos en los campos de correo electrónico, etc., para enmascarar su verdadera naturaleza, como nombres reales, nombres de usuarios, correos electrónicos, etc. Bien provienen de bases de datos cosechadas o hackeadas.

Creo que el propietario de este bot tendrá algunos falsos positivos gracias a este hilo :)

enlace