先日のspamは序の口だったようで、今度は夥しい数の異なるアドレスから大量のtrackback spamが襲来。

同じアドレスから複数連続とか異なる時間に違う内容のものがあったりするが、いちいち既に投稿禁止リストに登録済みかどうか思い出すのも神経衰弱ゲームみたいな感じになってきたので重複してもいいので片っ端から登録。

登録している傍らで既に新たなtrackback spamが投稿されてきているし。いたちごっこ。

こうしたspamに利用されているアドレスはおそらくは乗っ取られたゾンビサーバーだと思われる。

たまたま検索で見かけたBlogページの管理者はコメント/trackbackをモデレートにしないまま放置したようでもうspamでいっぱいになっていた。

blogのコメントやtrackbackは投稿がワンアクションで済むから１行のコマンドで自動実行できてしまうところが弱点なのかも。

Slashdotとかは確かspam防止のためいったんはpreviewしないと投稿できない仕組みを採用していた。

フォーラムとかもいったんは投稿手続きをしてpost idが生成されてからでないと投稿できないので自動的にspam投稿はしずらいのだろうね。

SNSとかがはやるのはこういう弊害が蔓延しているからだろうか。

なんだかサーバーの負荷がまた急増していると思ったらHatena PageTitle Agentの攻撃がここしばらく休み無しに毎分数十回も続いているのと、それに加えてcomment spam攻撃の集中砲火を浴びていた模様。

それまでは攻撃が休止している間に攻撃を仕掛けてきたZombi IPアドレスをそのつど書き込み禁止リストに追加してきたが、それだとサーバーの負荷軽減にはならないので思い切ってアドレスブロックリストにごっそり移すことにした。

そしてサーバーを再立ち上げしてしばらく後、再びサーバー負荷急増。焼け石に水であったようだ。

ログを見ると、しばらく以前攻撃に使っていたアドレスで無駄なあがきをした後に事態に気づいたのか、今度は今まで使われていなかった別の１００近い新しいZombiサーバーから連続でcomment spam攻撃を仕掛けてきていた。

数時間止みそうもないのでサーバーを一時停止して、新に使われたアドレスをすべてブロックするというイタチごっこをすることに。

おそらくBotnetの一部のアドレスを小出しに使っているので、最終的には数十万ものアドレスをブロックしないといけなくなるかもしれない。

最近閉鎖されるサイトが増えているのは、こうした攻撃の影響かもしれない。

攻撃してくる先のIPアドレスをかたっぱしからブロックリストに登録していったところ、860件ほどでその後やってくる攻撃はブロックされるようになった。最後の頃には書き込まれる内容も悪あがきのものが目立ち、単一のIPアドレス（北米の東海岸の片田舎）からいきなり一日１０００近いコメントスパムが投稿されたこともあった。

Zombie PCはもっと数そろえているものと想像していたが、案外駒数は少なかったようだ。

あとは見えないところでいろいろ撲滅対策が施されていたのかもしれない。

犯人はWebページそのものを閲覧しているということはまるでなくて、決め打ちのコメントやtrackbackのURLだけをねらってきている。なのでURLだけ既知のものから変更するだけでも効果はあるようだ。それにWebを閲覧していないので投稿したコメントやtrackbackがページに反映しているかはチェックせず単にサーバーから200のリターンコードが変えればご満悦のようだ。