Das deckt sich mit meinen Beobachtungen auf fedifreu.de. Bei einem Erfahrungsaustausch auf dem #Fedicamp2026 stellte sich heraus, dass nicht alle Mastodon-Instanzen betroffen sind. Ein Muster konnte ich nicht erkennen.
Inzwischen habe ich einen Cronjob aufgesetzt, der jede Nacht eine Liste von Wegwerf-Maildomains importiert. Jetzt bekomme ich nur noch die #Sleeper-Anträge vorgelegt, die proton.me oder GMail verwenden.
Links und mehr Tipps in meinen Notizen vom #Fedicamp: fedifreu.de/@chpietsch/1170593…
Liebe Mastodon-Admins,wenn ihr nicht Teil einer rechtsextremen (oder von Putin/Trump gesteuerten) Propadandamaschine werden wollt, dann tut was gegen die #Sleeper-Accounts, die sich evt. massenhaft auf euren Instanzen einnisten.
Was ihr tun könnte, habe ich mit Teilnehmenden des laufenden #Fedicamp zusammengetragen.
Aktuelles Beispiel für diese FakeNews-Kampagnen: newsie.social/@dieKadda/117058…
#PortalKombat #PutinTroll #TrumpTroll #SleeperAccounts #FakeNews #SpamRegistrations #RegistrationSpam #MastoAdmin #FediAdmin
Auf dem #Fedicamp habe ich heute zusammen mit @wuffel einen Erfahrungsaustausch angestiftet, bei dem wir beraten haben, wie wir mit der Flut dubioser Mastodon-Account-Anträge umgehen können. Hier sind Notizen dazu:Was tun gegen Mastodon-Account-Registrierungen durch Bots & Klickworker?
Anlass
FakeNews-Kampagne #PortalKombat und ähnliche: about.iftas.org/library/suspec…Vorsorgemaßnahmen
- Schaltet Registrierungen von offen auf halboffen um, falls ihr das nicht schon getan habt. Und verlangt eine Begründung! Ihr findet das unter Einstellungen > Administration > Serverregeln > Registrierungen
- Schreibt auf eure About-Seite, was in einer guten Begründung drinstehen sollte.
- Sollte euch doch mal ein Spammer/Sleeper durchrutschen, dann wäre es fatal, wenn er Einladungen erzeugen dürfte. Leider ist das der Default. Ändert das bitte in Einstellungen > Administration > Rollen > Standard. Die allermeisten User nutzen diese Funktion eh nicht. Mods und Admins können dann weiterhin Einladungslinks generieren.
Abwehrstrategie E-Mail-Domain
Mastodon lässt es zu, Account-Registrierungen von bestimmten E-Mail-Domains automatisch zu verwerfen. Ein Massenimport der unten verlinkten Listen ist mit Hilfe des mitgelieferten Server-Toolstootctlmöglich.
- Suche in ca. 70.000 Wegwerf-Domains: disposable.github.io/disposabl…
- Repo dazu: github.com/disposable/disposab…
- Bei so einer langen Liste steigt die Gefahr des Overblockings.
- Bewährte Teilmenge der obigen Liste mit ca. 7.000 Wegwerf-Domains: github.com/disposable-email-do…
- Update: Von @gunchleoc bekam ich ein kurzes Shellscript, das diese Blocklist in eine Mastodon-Instanz importiert: codeberg.org/datenfreude/email… – am besten jede Nacht per Cronjob.
Abwehrstrategie IP-Adresse
Mit Standard-Tools wiehostundwhoiskönnen Linux-Nutzende die IP-Adresse(n) untersuchen, die ein Antragsteller verwendet hat. Ein mächtigeres Tool istwtfis, wenn man die API-Keys einiger Webdienste hinterlegt: github.com/pirxthepilot/wtfisViele der Bots oder Klickarbeiter:innen nutzen Tor, andere Proxies oder Cloud-IPs. Anders gesagt: IPs von Heimanschlüssen sind ein positives Signal.
Abwehrstrategie Begründung
Viele Bots und Klickworker benutzen stinklangweilige Begründungen. Manche sind besonders dreist und verwenden die Bios beliebiger Fediverse-Accounts als Begründung. Beim Prüfen dieser Anträge kann es also sinnvoll sein, die Begründung ins Suchfeld einer großen Mastodon-Instanz zu kopieren.Sehr sinnvoll erscheint es uns, die Über-Seite oder den Text über dem Antragsformular anzupassen, um Antragstellende aufzufordern, in ihrer Begründung bestimmte Dinge zu erwähnen.
Eine Lösung für Matrix-Fans
Für Matrix-Nutzende hat die @FediverseFoundation einen Matrix-Bot gebaut, der das Checken der IP-Adresse übernimmt und auch das Freischalten oder Ablehnen via Chat ermöglicht: git.fediverse.foundation/ff_pu…Allgemeine Anti-DDoS-Maßnahmen
Gegen Ende sprachen wir über Überlastungsprobleme, die von hemmungslosen »KI«-Crawlern hervorgerufen werden und alle Websites (auch außerhalb des Fediversums) betreffen können. Die bekannten Ansätze sind:
- Proof of Work, z.B. Anubis
- IP-Sperrlisten, z.B. github.com/mitchellkrogza/ngin…
- UserAgent-Sperrlisten
- Tarpitting/Teergrubing/Fallen
Ideen für Fallen
Ein 1-Pixel-PNG mit Link auf ein haltdiefresse.php, welches die nötigen Parameter gleich dem Türsteher übergibt. Beim Skripten könnte das helfen: mastodonpy.readthedocs.io#PortalKombat #PutinTrolle #TrumpTrolle #AntiSpam #AntiFakeNews #Spam #FakeNews #disinformation #MastoAdmin #FediAdmin #Registrierungen #Fedicamp2006 #Fedicamp2006Tag3
