In den letzten Tagen wurde das Fediverse von einer massiven Spamwelle getroffen die vor allem große Mastodon-Accounts ins Visier nahm. Anders als bei früheren Angriffen wurden diesmal vor allem kleinere Instanzen als Einfallstor genutzt. Dabei wurden automatisch neue Accounts angelegt die massenweise Nachrichten verschickten und die Benachrichtigungen vieler Nutzer überfluteten.
Die Ursache für diese Attacke liegt wohl in einer Auseinandersetzung zwischen japanischen Jugendlichen. Die Abwehrmaßnahmen sind vergleichsweise einfach jedoch aufgrund der Dezentralität des Fediverse ebenfalls erschwert. Diese Spamwelle zeigt jedoch auch auf, dass viel schwierigere Szenarien denkbar sind.
Die meisten Nutzer bekamen von dieser Attacke nichts mit, da die Instanz-Admins engagiert gegen die Spamflut vorgingen. Bei früheren Spamwellen waren vor allem die größten Mastodon-Instanzen, ebenso wie mastodon.social, betroffen. Diesmal zielten die Angreifer hauptsächlich auf kleine Instanzen ab die weniger überwacht wurden. Wenn die Admins nicht rechtzeitig reagierten wurden diese förmlich überrannt.
Mastodon-Chefentwickler Eugen Rochko wies die Instanz-Admins darauf hin. Dass Registrierungen nicht zwangsläufig offen sein müssen. Durch eine strengere Registrierungspolitik hätte man den Angriff im Keim ersticken können. Zudem könnten Provider von Wegwerf-E-Mail-Adressen blockiert & Captchas aktiviert werden um die Spamwelle frühzeitig zu stoppen.
Die Spamattacke scheint ihren Ursprung nicht auf Mastodon, allerdings auf der japanischen Mikroblogging-Software Misskey zu haben. Die Verantwortlichen von misskey.io haben sogar die Polizei eingeschaltet. Diese Vorfälle verdeutlichen die potenziell noch größere Gefahr durch die automatisierte Einrichtung von Instanzen für Spamzwecke.
Kürzlich wurde Mastodon bereits mit einem Update gegen eine kritische Sicherheitslücke abgesichert die es Unbefugten ermöglichte, beliebige Dateien auf einen Server hochzuladen. Diese Schwachstelle hätte es erlauben können schädliche Inhalte zu verbreiten. Die Mastodon-Versionen 4.2.7, 4.1.15, 4.0.15 und 3.5.19 beheben diese Sicherheitslücken und stehen zum Download bereit.
Die Spamwelle hat gezeigt, dass die Fediverse-Community weiterhin vor großen Herausforderungen steht was die Sicherheit und die Widerstandsfähigkeit gegen Spamangriffe betrifft. Es bleibt abzuwarten wie sich die Situation ausarbeiten wird und welche Maßnahmen zukünftig ergriffen werden um die Community zu schützen.
Kommentare