Xrumer: les liaisons fatales

Xrumer me casse les pieds

Xrumer est un sacré logiciel qui m’ennuie beaucoup. Il me met une pagaille pas possible dans un forum associatif que je gère, m’obligeant à  valider manuellement les inscriptions, ce qui me donne du travail supplémentaire; du travail de fourmi que j’exècre au plus haut point.

Suite à  mes déboires, je me suis donc penché un peu plus sur ce sinistre logiciel, par la force des choses. C’était il y a quelques mois, au cours duquel j’échangeais régulièrement avec l’un de mes correspondants Estoniens qui m’avait tuyauté sur le botnet Storm.

Mon correspondant, appelons le Piotr, connaissait bien la bête car il l’utilisait fréquemment. Il me l’avait longuement recommandé, mais je ne l’ai jamais acheté, préférant développer à  la main mes machines infernales. Et puis les problèmes avec mon forum m’avaient aussi un peu échaudé.

Un jour où nous échangions, il me dit qu’il a quelques soucis avec le monstre et que, « Nibdon » comme ils disent en Estonien, le site web qui le distribue (www.botmasternet.com) n’est plus accessible et qu’il se retrouve dans la galère, surtout au prix où il a payé sa licence (plus de $500). Un peu amusé par la situation, je me dis que Piotr fait surement parti des spammeurs qui ont inondé mon forum mais, bon prince ou déformation professionnelle, je décide de jeter un œil au problème.

La Russian connection

Le site était hébergé à  l’adresse 95.169.190.220, et ne répondait plus. J’en profite pour lancer quelques tests avec certain de mes outils et je tombe sur les données administratives du réseau. Cette adresse fait partie du réseau 95.169.190.0/23 qui appartient à  un certain Ivan Gladenko de la société Keyweb.de.

Ces messieurs font partie des fournisseurs qui ne sont pas très regardants sur leurs conditions générales d’utilisation. Au programme des clients: spams, faux codecs, arnaque financière (HYIP) et d’autres choses que je préfère taire. De plus en plus intéressé par eux, je vais même jusqu’à  découvrir qu’ils hébergent deux serveurs de contrôle du botnet Zeus !

Bon finalement, c’est tout de même dans la logique des choses que Xrumer soit hébergé plutôt chez ce type de société plutôt qu’au Vatican. Suite à  ce sympathique moment, Piotr me dira que le site a tout simplement été migré chez un autre prestataire et qu’il fonctionne bien désormais.

Un autre prestataire ? Mais qui donc cette fois-ci ? Allons-nous passer de Al Capone à  mère Thérésa ? Jetons un œil si vous le voulez bien.

Le retour de la Russian connection

Tout d’abord, j’apprends qu’il faut faire soit même la résolution DNS, c’est à  dire coder un fichier hosts sur sa machine; pas bien pratique tout cela, mais passons. Voici donc la nouvelle adresse du site de Xrumer: 188.72.244.95.

Cette adresse appartient à  la plage 188.72.244.64 – 188.72.244.127, dirigé par un certain Alexey Terentyev de nkvdteam.ru.

Le Ripe nous apprend que ce bloc d’adresses est en fait routé par la société Netdirekt, récemment rachetée par Leasweb, un gros fournisseur néerlandais. La société Netdirekt a également un très lourd passif en matière de petits ennuis, pour rester courtois.

Tout en bas de la page, vous prêterez une attention toute particulière à  l’un de leur turbulent client Rustelekom qui ressemble étrangement à  la tentaculaire mais néanmoins défunte Russian Business Network.

En clair les concepteurs de Xrumer utilisent les infrastructures « underground » habituelles qui leur permettent de ne pas être trop inquiétés dans leurs petites affaires, mais pas seulement.

L’envers du décor

Il y a environ un mois, je discutais via IRC avec Piotr alors qu’il était en « plein travail » avec Xrumer, et c’est là  que j’ai été pris d’un petit soupçon que j’ai eu envie de vérifier. Je lui ai donc demandé si je pouvais me connecter sur son serveur dédié que je puisse admirer « la bête dans ses œuvres » (Création de 500 liens à  la minute).

Il a accepté mais à  condition que « Nibdon », je ne casse rien parce que c’est quand même de son gagne-pain que nous parlons.
Je me suis donc connecté et à  l’aide de Windump, j’ai discrètement lancé une capture réseau du trafic généré par Xrumer.

La première chose que j’ai trouvé étrange est la grande fréquence de requêtes ICMP envoyées par le serveur. Le protocole ICMP est un protocole de service utilisé par exemple par les commandes ping et traceroute. (tracert sous Windows). On l’utilise normalement pour signaler un problème ou pour véhiculer des messages de contrôle. Dans notre cas, j’ai pu compter jusqu’à  10 requêtes ICMP par minute, ce qui est absolument anormal lors d’une utilisation conventionnelle d’un service réseau. J’ai demandé à  Piotr si l’on pouvait arrêter temporairement Xrumer, et lorsqu’il l’a fait, les requêtes ICMP ont disparu. C’est donc bien ce logiciel qui est à  l’origine de ce type de trafic réseau. A noter que toutes ces requêtes étaient toujours envoyées dans la même direction: une machine hébergée par groatcoats.com (Site web indisponible).

La deuxième chose que j’ai constaté est la taille du paquet ICMP. Alors que celle-ci est généralement de l’ordre de quelques octets, là  le paquet faisait plusieurs kilos-octets, de quoi transporter un certain nombre d’informations. Cela m’a rappelé une expérience que j’avais faite il y a quelques années pour contourner un IDS. L’idée était que comme la plupart du trafic conventionnel (Web, mail, etc.) était étroitement surveillé, il fallait faire preuve de beaucoup de subtilité pour arriver à  faire entrer ou sortir de l’information située au delà  du système de protection d’une entreprise. J’ai trouvé la solution en camouflant des données dans une requête d’apparence complétement anodine: le ping qui fonctionne au moyen de deux paquets ICMP ¨: ECHO_REQUEST et ECHO_REPLY. Outre l’entête traditionnelle (source, destination, type, checksum), ce paquet comporte un « payload » (cargaison) pas franchement normalisée. C’est donc dans cette cargaison que j’ai pu insérer mes informations au nez et à  la barbe de l’IDS grâce à  un petit programme écrit en C.

Pour en revenir avec cette caractéristique de Xrumer, je n’ai pas su décoder le contenu du paquet. Le mystère reste total, mais il y a pour ma part 3 à  4 kilos en trop dans ce type de requête lorsque l’on fait fonctionner Xrumer.

Et la dernière chose qui m’a également semblé bizarre dans mon analyse, c’est le nombre absolument incroyable de connexions TCP sortantes. Faites un test, lancez un blast sous Xrumer, ouvrez une ligne de commande (cmd) et tapez la commande suivante:

netstat -an

La première colonne indique le protocole (tcp ou udp), la seconde est l’adresse IP émettrice, la troisième l’adresse de destination munie de son type d’application (le port dans le cadre de tcp) et la dernière représente l’état de la connexion (à‰tablie, finie, etc.). Vous isolez le trafic Web en repérant les adresses de destination se terminant par :80. Si vous avez plus de 10 connexions simultanées, cela revient à  dire que vous êtes sans doute en train de lancer un DDOS contre une victime !

C’est là  une de mes interrogations: est-ce que Xrumer ne profite pas de ses blasts pour lancer peut-être des attaques simultanées contre des sites Web ? Après tout cela passerait complétement inaperçu: si la machine est chargée, et croyez-moi lors d’un DDOS, elle l’est, après tout cela reste une situation qui semble normale, surtout lorsque l’on crée 500 liens à  la minute.

En conclusion mon analyse ne prouve rien certes, mais la chose qui est certaine c’est que personnellement, je refuserai toujours d’installer ce type de logiciel sur ma propre machine.

Viagra, Cialis et Xanax: savoir utiliser les spammeurs chimiques

Vous les connaissez tous, ces infatigables spammeurs chimiques qui, à  coup de Xrumer et de scripts tueurs, polluent vos forums, vos livres d’or et vos blogs. Mais si viagra, cialis et autre Xanax ne vous concernent pas, il y a quelque chose de bon à  retirer des activités des seigneurs du spam. Car ces derniers possèdent quelque chose que bien peu d’entre vous disposent: des moyens industriels pour créer des liens.

Alors si ces obscures personnages déploient d’immenses efforts pour arriver à  leur fin, il est bon de profiter de leur travail pour notre plus
grand intérêt. Vous allez me dire que vous n’avez pas trop envie de mélanger votre beau site de tricot à  du viagra; c’est vrai, vous avez raison mais je vous rassure tout de suite: ce ne sera pas le cas, l’objectif principal sera de tout simplement d’indexer une page web le plus rapidement possible. Et puis si vous ne vous arrêtez pas à  la simple lecture de mes élucubrations, vous vous rendrez vite compte que les spammeurs chimiques sont une source inépuisable d’idées et d’inspiration.

Alors voilà  l’idée, puisque je constate que Christophe et Jean-Christophe trépignent d’impatience. Nos vendeurs de viagra utilisent à  l’échelle industrielle le parasitage: ils créent des petites pages HTML parasites la plupart du temps sur des forums ou des sites sociaux. Parfois, ils utilisent également des injections à  base de scripts ASP défaillants. De là , ils font un lien vers leur site pharmaceutique. Puis ils sortent leur grosse artillerie
en créant des milliers de liens vers leur page parasite. Certains réussissent très bien, l’espace d’un temps. Pour vous en rendre compte, vous n’avez qu’à  chercher « viagra » sur le big G pour constater qui squatte les premières
pages des SERPS.

Nous allons repérer certaines de leurs activités et greffer notre lien à  proximité de sorte que nous puissions profiter nous aussi de leur formidables moyens. En clair, nous allons parasiter le parasitage.

Pour ce faire, nous nous infiltrons dans l’un des squats préférés des spammeurs chimiques: le forum IP Board. Ce forum a deux particularités intéressantes: primo, il permet de créer une mini page web avec du code HTML (et donc un lien) et deuxio, il indique le nom des visiteurs ayant visité le profil.

Nous commençons par identifier le passage des spammeurs au moyen de cette requête. Là , nous obtenons une liste conséquente des sites parasites. Au passage, vous pouvez vérifier la puissance et l’énergie dégagées par les spammeurs pour construire leurs liens. Copier une des URLS de l’un des sites parasites (celle qui se terminent par showuser=xxxx), ouvrez Yahoo.com et faites un link:url pour avoir une idée du nombre de liens entrants sur le site parasite.

Inscrivez-vous sur l’un des forums, renseignez le « About Me » avec votre lien muni de l’ancre qui vous intéresse. Ceci fait, visitez le profil du spammeur chimique, rafraichissez la page et voilà , vous obtenez votre lien et votre profil va être rapidement indexé par Google (entre autres). Pour continuer dans votre démarche et accélérer l’indexation, cherchez d’autres profils de spammeur chimique. Dans Google, utilisez la requête suivante:

site:forum « Viewing Profile » viagra.

Visitez autant de profils que vous le souhaitez, cela ne fera qu’augmenter les liens vers votre « About Me ». Faites attention tout de même à  ne pas trop en faire, surtout si vous êtes vous-même un spammeur chimique :-)

Mais d’un point de vue SEO, on est en droit de se demander si finalement, cela vaut la peine d’agir ainsi car en fin de compte, nous n’avons crée qu’un seul lien. La réponse n’est pas toujours très clair dans les esprits: vaut-il mieux avoir un lien depuis une page qui elle même ne dispose que d’un seul lien ou alors avoir un lien depuis un page disposant de millier de liens entrants ?

Par ailleurs, comme je vous l’ai déjà  évoqué, certaines de ces pages sont dans le top 10 des SERPS, et ce en dépit d’une redoutable concurrence.
Quelque part, on peut en conclure que ces pages ont un degré d’autorité non négligeable, ce qui en terme SEO fait toute la différence.

N’est-ce pas sympa d’avoir un lien depuis le site qui sort en tête sur l’expression « viagra » ?

Forum: les dessous d’un business méconnu

C’est sympa un forum, ça permet de retrouver sa tribu tranquillement et de discuter de choses diverses et variées, telles que le point de croix ou l’histoire du tricot à  travers les ages. L’avantage aussi, c’est que l’on n’a pas trop de soucis à  se faire avec le contenu: les gens travaillent pour vous en créant des discussions, l’idéal absolu lorsque l’on est une grosse feignasse comme moi né fatigué.

J’ai pour ma part moi même un forum que j’administre pour une association Franco-Philippine dont je m’occupe. J’utilise une version SEO de phpBB que je recommande vivement. A ce sujet, une petite chose à  signaler: cette version est écrite par des Français. Comme quoi, lorsque nous cessons de râler, nous sommes vraiment capables de faire de bonnes choses :-|

Le principal problème que je rencontre avec ce forum se résume aux quelques spams que je reçois principalement en provenance du sinistre Xrumer. Même s’il m’ennuie un peu, je dois bien reconnaitre que ce programme est un petit bijou de technologie Blackhat. Il scanne les moteurs de recherche pour y trouver les signatures des forums tels que phpBB, Vbulletin, etc. S’y inscrit automatiquement, au passage en cassant le captcha du formulaire d’inscription et en répondant par lui même au lien de confirmation. Puis il peut poser une question afin de se faire passer pour un être humain, et finalement il termine son méfait en déposant le spam en lui même. Aux dernières nouvelles, il serait même capable de casser les captcha de Gmail et de Hotmail. En bref, une bien belle cochonnerie pour un administrateur de forums, mais un outil fabuleux pour les ceux et ceusses du côté obscur.

Comme je suis vénal, je tente de gagner un peu d’argent avec ce forum. Je choisi la solution de facilité en y mettant Adsense. Je peux aussi proposer à  des gens des slots publicitaires à  base de bannières ou de liens texte. Bien entendu, je dois tout de même rester dans la thématique du forum au risque de faire fuir mes participants. J’ai également la possibilité de vendre des liens avec comme conséquence potentielle la fuite de mon PR. Vous tenez désormais la raison pour laquelle Pagasa est passé de PR5 à  PR0 en 6 mois à  peine.

C’est bien joli, Adsense et tout le reste, mais finalement cela ne rapporte pas grand chose. Comme je suis quelqu’un qui navigue plus sur la scène internationale (celle où l’on parle anglais, sans toutefois être nécessairement d’origine anglo-saxonne), je commence à  fouiller et à  enquêter sur les pratiques qui se font hors du pays de la langue de Molière Louis XIV (pour changer un peu).

Dans un premier temps, j’ai trouvé une méthode toute bête mais qui malheureusement ne trouve pas écho sur la scène Française: la négoce de signatures de forum. Vous vous contentez de louer votre signature de forum à  quelqu’un qui va y mettre l’URL de son site, ou un lien d’affiliation déguisé. Comme je vous l’ai déjà  expliqué avec mon site de test smtp, les signatures de forum sont de très bon vecteurs de trafic. Alors si quelqu’un est prêt à  payer pour cela, autant en profiter.

Vous n’y croyez pas ? Et bien voici la preuve de ce que je dis:
Jetez un oeil sur DigitalPoint. Le WTB signifie Want To Buy, quelqu’un qui est prêt à  acheter votre signature. Et il n’est pas rare de trouver des slots à  $20 par mois. Cela va surtout dépendre du nombre d’articles postés par son propriétaire. à‰videmment quelqu’un qui possède 4000 articles à  son actif a tous les arguments pour justifier d’un prix plus élevé. Et bien entendu, il y a beaucoup d’autres forums avec beaucoup d’autres thématiques, mais sachez que le marché existe et qu’il ne faut franchement pas faire beaucoup d’efforts pour y entrer.

Une autre idée est de se faire payer pour poster. Le problème lorsque l’on commence un forum, c’est bien entendu les articles. Sachant que pour un 100 lecteurs, vous disposez en moyenne de 1 à  2 posteurs, il vous faut du monde pour arriver à  générer des articles et faire vivre votre forum. Donc l’idée est de payer des gens pour aller écrire des articles sur le forum. Ainsi, on arrive à  créer des discussions et motiver les gens à  répondre et à  interagir avec ce qui est proposé. De cette façon, on développe artificiellement le forum. La fin justifie les moyens, et finalement il ne s’agit que d’un autre mode de promotion que de payer quelques Euros d’Adwords. Les tarifs vont de 5 centimes (de dollars) à  15 centimes (toujours de dollars) par article. Si vous intervenez souvent alors vous pouvez facilement vous faire quelques Euros, mais pas de quoi fouetter un chat. Remarquez que si votre beau site de tricot fait moins de 1 euro par jour de revenus, vous avez tout intérêt à  passer plus de temps sur un forum à  vous faire payer plutôt que vous lamenter sur vos revenus Adsense. C’est toujours sur DigitalPoint que vous pouvez trouver des gens cherchant des posteurs. J’ai moi même été contacté pour poster sur un forum francophone. Mais la niche « très particulière » ne m’a pas emballé du tout. Sinon il existe des forums qui vous rémunèrent directement pour chaque article crée. Curieux business modèle, il est vrai mais après tout pourquoi pas: il y en a bien qui vous payent pour uploader des photos de votre copine après la cuite qu’elle s’est prise pour la réussite de son P1 de médecine.

Finalement la dernière technique que j’évoque s’adresse aux administrateurs de forums. Et faites attention à  ce que vous faites, car elle n’est pas sans risque. N’allez surtout pas dire que c’est de la faute de Thibaut si un jour on vous reproche d’avoir utilisé cette technique sur votre beau forum de tricot. Je n’y suis pour rien moi dans vos affaires passées, présentes et à  venir (Surtout à  venir).

Alors voilà , le doux nom de cette technique s’appelle le « cookie stuffing ». Pour les puristes francophiles, un petit coup de traducteur automatique, et cela me donne le résultat suivant: le gâteau farci. Heu, je propose que l’on garde l’expression anglaise parce que franchement, avec l’addition du tricot et des gâteaux farcis, Pagasa risque de se transformer en blog de la mère Denis, ce qui n’est pas du tout mon objectif.

L’idée du cookie stuffing est la suivante: lorsque vous proposez un produit via une plateforme d’affiliation, cette dernière met à  disposition des liens, bannières, etc. afin que vous puissiez promouvoir le produit. Bien entendu, la plupart des clients potentiels n’achète pas au premier coup et il faut donc garder une petite trace de leur passage afin de commissionner l’affilié plus tard. Bah oui: si quelqu’un est arrivé sur le site marchand et qu’il achète par la suite, c’est tout de même normal que vous soyez payé. Ceci se fait via un bête cookie qui permet donc d’identifier la personne à  l’origine de la transaction (Donc c’est vous). Toujours entre parenthèses, j’utilise également le même procédé pour la vente de mon appartement, n’hésitez pas à  vous y inscrire.

Alors comme je suis un vilain tout plein, toujours avide de faire de l’argent, et bien entendu de préférence sur le dos des autres, je récupère ce cookie et le jette en pâture à  tous mes visiteurs, qu’ils cliquent ou pas sur mon !&#@!? de lien d’affiliation. Je fais ceci de manière toute bête via un iframe ou mieux une image truquée. Comme je vous vois hocher la tête, je vous explique un peu plus en détail cette dernière.

Dans le template de mon forum, j’insère une image vide:
<img src= »http://www.pinoysbest.com/imgvide.jpg » border= »0″ alt= » » />

Cette image vide est redirigée via un htaccess:

RewriteRule ^imagevide.jpg$ affiliation.php [QSA,L]

Et dans mon script php, je redirige vers le lien d’affiliation:

<?php
header(« Location: http://www.deglingafiliation.com/afil.php?afil=MOI »);
?>

Ce qui signifie que quiconque vient se promener sur le forum se voit déposer automatiquement un cookie sans qu’aucun clic ne soit demandé, et que si par la suite il y a achat sur le site cible, vous serez automatiquement commissionné.

Les sites qui se prêtent particulièrement bien à  ce type de technique sont EPN (Ebay), Amazon et AFF.

Bien entendu, inutile de décortiquer les pages HTML de mon forum: je n’y utilise pas de cookie stuffing dessus, ce serait trop facile :-)

Sachez aussi que le propriétaire de DP, Shawn Hogan est poursuivi par Ebay pour avoir employé cette technique. Evidemment avec plus de 270000 membres, DP est le forum idéal pour sombrer dans la tentation du cookie stuffing. Mais vous voyez bien que l’on ne peut pas toujours se permettre de plaisanter avec les « big dogs ». Vous êtes donc prévenu.

Voilà , il s’agit d’un petit éventail de l’argent que l’on peut gagner en utilisant judicieusement les forums que l’on soit l’administrateur ou simplement le posteur. Il est tout de même frappant de constater que ces techniques aussi souvent utilisées à  l’étranger ne semblent pas beaucoup intéresser la scène Française toujours aussi méfiante vis à  vis de ce que d’autres considèrent comme tout à  fait naturel: le gain.