3000 Clones des raspiBackup Repositories am 14.8. ???

framp · August 30, 2026 at 12:13 AM

Hat jemand eine Idee woher und warum das so ist? Sieht mir so aus als hätten da irgendwelche Ki Bots zugeschlagen.Die Frage ist warum und warum sind es so viele?

Bot · Vor 5 Minuten

3000 Clones des raspiBackup Repositories am 14.8. ???? Schau mal ob du hier fündig wirst!

Jürgen Böhm · August 30, 2026 at 12:59 AM

Die Russen brauchten ein Update für ihre Drohnen

Edit: Oder die Amis sind völlig irre geworden, Ich habe hier auf meinem Webserver
(Nur 2 Bilder) 30837 Zugiffe nur für den August, für Juli waren das noch 20789 Zugriffe.
Seit Januar 2023 steigen die Zugriffe immer mehr an.

Mfg

Jürgen

Zentris · August 30, 2026 at 2:41 AM

Quote from Jürgen Böhm

...Ich habe hier auf meinem Webserver
(Nur 2 Bilder) 30837 Zugiffe nur für den August, für Juli waren das noch 20789 Zugriffe.
Seit Januar 2023 steigen die Zugriffe immer mehr an.

Ich denke, das kommt auf die Bilder an...

Bot · Vor einem Moment

Jürgen Böhm · August 30, 2026 at 3:45 AM

Quote from Zentris

Ich denke, das kommt auf die Bilder an...

Die 2 Bilder:
Der Troll ist von FranjoG, verfeinert mit den Koordinaten vom Weißen Haus .

Den Trumpling hatte ich im INET gefunden, keine Verfeinerung.
Aber Ich kann mir irgendwie nicht vorstellen das die KI den Troll so mag.

Ein Visum in die USA bzw. UKA (United Kingdom of America) kann ich mir damit wohl abschminken.
Aber ob das zusätzliche 28000 Zugriffe/m (nur USA) rechtfertigt?
Das steigerte sich ab Dezember 2022 (hier vor Trumps Wahl) bzw. 29.08.2026:

Achtung, links sind die USA Orange, rechts Grün. Unauflösbar bin ich selbst, da einige Überwachungen auch
über diesen Webserver laufen.
Im November 2022 waren es insgesamt 63016 Anfragen, im August 2026 (bis heute) 458951 Anfragen.

Aber die Chinesen sind dabei nicht ganz unbeteiligt, denn wenn ich mir mal die IP-Adressen genauer ansehe,
finde ich auch IP-Adressen von Alibaba/US in den Log-Dateien. Aber irgendwie clever den Amis die Schuld dafür unterzujubeln.
Sehr oft handelt es sich um Abfragen mit der getestet wird ob bestimmte Software hier läuft.
Manchmal kommen die gleichen Abfragen mal aus den USA, Malaysia, Spanien, Thailand oder ....

Werkzeug: https://www.geolocation.com/de/

MfG

Jürgen

Franjo G · August 30, 2026 at 1:58 PM

Quote from Jürgen Böhm

Der Troll ist von FranjoG,

Der ist nicht von mir, sondern KI generiert.

Jürgen Böhm · August 30, 2026 at 3:20 PM

Quote from Franjo G

Der ist nicht von mir, sondern KI generiert.

Aber ohne Deine Idee würde es das Bild nicht geben.

MfG

Jürgen

Bot · Vor einem Moment

Franjo G · August 30, 2026 at 3:24 PM

Quote from Jürgen Böhm

Aber ohne Deine Idee würde es das Bild nicht geben.

Ich habe aber keine Rechte an dem Bild. Deshalb ist eine Erwähnung nicht erforderlich.

Jürgen Böhm · August 30, 2026 at 4:39 PM

Gestern Abend wurde mein Webserver mal wieder abgescannt.
Der Server, der die IP-Adresse vergeben hat, gehört zu Google,
wer die IP benutzt hat weiss ich nicht.

Der Scan begann [29/Aug/2026:23:55:15 +0200] und endete [29/Aug/2026:23:56:44 +0200]
und umfasste 1870 Abfragen.

Ich habe das mal die Logdatei gezipt und hier angehängt.
Für mich sieht das so aus, als wenn sich verschiedene KIs die IP geteilt hätten.
Oder ob das nur der Verschleierung dient um so unterm Radar zu bleiben.

MfG

Jürgen

Edit: Es sind nur die Einträge von der Scan-IP

Tell · August 30, 2026 at 5:21 PM

Jürgen Böhm Fuer mich sieht das nach einem Schwachstellen-Scan aus. Ich tippe darauf dass die Angaben zum Browser gefakt sind.

Anscheinend gibt es zwar jetzt auch KIs die in Websites einbrechen, aber warum sollten so viele unterschiedliche KIs genau in deine Site einbrechen wollen?

Bot · Vor einem Moment

Jürgen Böhm · August 30, 2026 at 6:00 PM

Quote from Tell

aber warum sollten so viele unterschiedliche KIs genau in deine Site einbrechen wollen?

Um einen Bot zu installieren oder um nachsehen ob da noch mehr Rechner dranhängen und dann verschlüsseln.
Auch Privatpersonen kann man erpressen oder missbrauchen.

Das die Angaben zum Browser gefakt sind, sieht man daran,
das Ähnliches abgefragt wird, aber mit unterschiedlichen Geräten/Browser.

Wie schon geschrieben, da wollte einer unterm Radar bleiben.
Solche Aktionen sehe ich mittlerweile immer öfter.
Ich hatte diesen Scan aus der Logdatei rauskopiert damit man mal sieht
wie so ein Webserver auf Schwachstellen abgeklopft wird.

Wird so langsam Zeit für diese Option:

Anubis: Web AI Firewall Utility | Anubis

Weigh the soul of incoming HTTP requests to protect your website!

anubis.techaro.lol

MfG

Jürgen

framp · August 30, 2026 at 9:04 PM

Ich bin ja dabei meine Webseite neu zu erstellen. Dabei sehe ich jetzt auch genauer ins AccessLog um alte Links zu redirekten. Es ist sehr interessant zu sehen, wie und mit welchen URLs versucht wird, Löcher im CMS zu finden.

Jürgen Böhm Du hast eine Webseite, die offensichtlich Freunde im Netz mit deinen Bildern gefunden hat. Somit sind die Zugriffe verständlich. Aber warum plötzlich ein github Repository plötzlich 3000 Mal an einem Tag gecloned wird ist schon sehr merkwürdig.

Vermutlich hat die Verlagerung der raspiBackup Installationsdateien mit 0.7.4 von meiner Webseite auf github irgendwas damit zu tun. Dass das an genau einem Tag passiert ist aber für mich nicht zu verstehen.

framp · August 30, 2026 at 9:07 PM

Dei AccesLog sieht echt interessant aus. Diese URLs sehe ich bei mir nicht. Aber es fiel mir auf

Code

130.211.101.254 - - [29/Aug/2026:23:55:20 +0200] "POST /fetch HTTP/1.1" 404 79799 "https://93.216.40.124:443" "Mozilla/5.0 (Macintosh; Intel Mac OS X 14_6_1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/114.0.532.189 Safari/537.36; compatible; Claude-SearchBot/1.0; +https://www.anthropic.com/claude-searchbot"

Bot · Vor einem Moment

Jürgen Böhm · August 30, 2026 at 9:53 PM

Quote from framp

"https://93.216.40.124"

Das war meine IP bis heute gegen 04:00 Uhr.
So etwas taucht öfter auf, anhand der "404" sehe ich das die Verbindung abgelehnt wurde.

Oder habe ich jetzt etwas übersehen?

MfG

Jürgen

framp · August 30, 2026 at 9:57 PM

Code

framp@obelix:~$ whois 130.211.101.254

#
# ARIN WHOIS data and services are subject to the Terms of Use
# available at: https://www.arin.net/resources/registry/whois/tou/
#
# If you see inaccuracies in the results, please report at
# https://www.arin.net/resources/registry/whois/inaccuracy_reporting/
#
# Copyright 1997-2026, American Registry for Internet Numbers, Ltd.
#


NetRange:       130.211.0.0 - 130.211.255.255
CIDR:           130.211.0.0/16
NetName:        GOOGLE-CLOUD
NetHandle:      NET-130-211-0-0-1
Parent:         NET130 (NET-130-0-0-0-0)
NetType:        Direct Allocation
OriginAS:       
Organization:   Google LLC (GOOGL-2)
RegDate:        2014-05-12
Updated:        2015-09-21
Comment:        ** The IP addresses under this netblock are in use by Google Cloud customers ** 
Comment:        
Comment:        Direct all copyright and legal complaints to 
Comment:        https://support.google.com/legal/go/report
Comment:        
Comment:        Direct all spam and abuse complaints to 
Comment:        https://support.google.com/code/go/gce_abuse_report
Comment:        
Comment:        For fastest response, use the relevant forms above.
Comment:        
Comment:        Complaints can also be sent to the GC Abuse desk 
Comment:        (google-cloud-compliance@google.com) 
Comment:        but may have longer turnaround times.
Comment:        
Comment:        Complaints sent to any other POC will be ignored.
Ref:            https://rdap.arin.net/registry/ip/130.211.0.0



OrgName:        Google LLC
OrgId:          GOOGL-2
Address:        1600 Amphitheatre Parkway
City:           Mountain View
StateProv:      CA
PostalCode:     94043
Country:        US
RegDate:        2006-09-29
Updated:        2019-11-01
Comment:        *** The IP addresses under this Org-ID are in use by Google Cloud customers *** 
Comment:        
Comment:        Direct all copyright and legal complaints to 
Comment:        https://support.google.com/legal/go/report
Comment:        
Comment:        Direct all spam and abuse complaints to 
Comment:        https://support.google.com/code/go/gce_abuse_report
Comment:        
Comment:        For fastest response, use the relevant forms above.
Comment:        
Comment:        Complaints can also be sent to the GC Abuse desk 
Comment:        (google-cloud-compliance@google.com) 
Comment:        but may have longer turnaround times.
Comment:        
Comment:        Complaints sent to any other POC will be ignored.
Ref:            https://rdap.arin.net/registry/entity/GOOGL-2


OrgAbuseHandle: GCABU-ARIN
OrgAbuseName:   GC Abuse
OrgAbusePhone:  +1-650-253-0000 
OrgAbuseEmail:  google-cloud-compliance@google.com
OrgAbuseRef:    https://rdap.arin.net/registry/entity/GCABU-ARIN

OrgTechHandle: ZG39-ARIN
OrgTechName:   Google LLC
OrgTechPhone:  +1-650-253-0000 
OrgTechEmail:  arin-contact@google.com
OrgTechRef:    https://rdap.arin.net/registry/entity/ZG39-ARIN

OrgNOCHandle: GCABU-ARIN
OrgNOCName:   GC Abuse
OrgNOCPhone:  +1-650-253-0000 
OrgNOCEmail:  google-cloud-compliance@google.com
OrgNOCRef:    https://rdap.arin.net/registry/entity/GCABU-ARIN


#
# ARIN WHOIS data and services are subject to the Terms of Use
# available at: https://www.arin.net/resources/registry/whois/tou/
#
# If you see inaccuracies in the results, please report at
# https://www.arin.net/resources/registry/whois/inaccuracy_reporting/
#
# Copyright 1997-2026, American Registry for Internet Numbers, Ltd.
#

Display More

Jürgen Böhm · August 30, 2026 at 10:36 PM

Das das die IP von Google ist hatte ich schon herausgefunden.

Aber das was mich stutzig gemacht hat, sind fast gleichartige Abfragen von unterschiedlichen Clients.
Iphone, Android, anthropic, discord, grokbot, ... und das immer abwechselnd.

Entweder spielt Google mit falschen Karten oder einer nutzt die Googlecloud zum hacken.
Wobei ich letzteres annehme.

MfG

Jürgen

Bot · Vor einem Moment

framp · August 30, 2026 at 10:42 PM

Source des Clients ist die IP ganz links. Was dann der Client an Identifikation liefert, kann den Client definieren. Ich kann auf Deine Webseite zugreifen und Dir als Client "fu** me" ins Log schicken.

Interessant ist dass der Client seine Identität ändert. Spricht sehr für ein KI Bot.

pisel · August 31, 2026 at 11:44 AM

Quote from Jürgen Böhm

Gestern Abend wurde mein Webserver mal wieder abgescannt.

Das ist ein typischer Fall für CrowdSec.
Vgl. Linux-Server mit CrowdSec absichern – Thomas-Krenn-Wiki

mopperle · August 31, 2026 at 6:38 PM

Wollte jetzt auch mal wieder die Logfiles meiner Webseite auswerten. Host ist Strato, aber die Statistiken dort sind sehr begrenzt. Da ich die Logdatei runterladen kann, hätte ich gerne einen Tipp, mit welchem Programm man die Anaylse am einfachsten macht: entweder unter Win11 oder unter Debian 13, läuft bei mir parallel zu Win.

Bot · Vor einem Moment

Jürgen Böhm · August 31, 2026 at 8:52 PM

Quote from mopperle

hätte ich gerne einen Tipp, mit welchem Programm man die Anaylse am einfachsten macht

Ich nutze AWFFULL zur Auswertung unter Debian auf einem RPi4B.
Ist schon etwas länger in Betrieb.

MfG

Jürgen

simonz · August 31, 2026 at 8:59 PM

goaccess ist auch eine Möglichkeit.

Participate now!