WRInaute occasionnel
Bonjour,
Je suis administrateur d’un tchat. Vers mi-septembre 2026 et ce matin, j’ai constaté quelque chose d’étrange :
J’ai suivi de très près via les logs HTTP afin de les tracer, voici comment ils procèdent :
1) Il se connecte sur la page d’accueil du site (il y a le formulaire directement sur la page d’accueil)
2) Le formulaire semble rempli en 9 secondes environ
3) La connexion se lance
4) Une fois connecté, il arrive à localiser l’onglet là où arrivent tous les messages privés
Voici ce que j’ai constaté :
J’ai essayé d’imaginer comment il pourrait être créé ce robot, voici mon avis :
Voilà, c’était pour vous prévenir, de faire attention : il y a des bots intelligents qui visitent nos sites, se comportent comme de vrais humains, et ont des IP comme les vrais utilisateurs. Le nombre d’IP n’a pas de limite, et les bots peuvent bosser 2 jours sans interruption.
J'aurais pu faire des tests, comme par exemple afin de voir s'ils ont une « souris qui bouge », par exemple en récupérant les positions de la souris à des intervalles réguliers, ou plein de conneries comme ça, mais j'ai pas très envie de perdre des heures sur des conneries comme ça. Du coup, avec le CAPTCHA dont il faut recopier 4 caractères, ça règle le problème.
Première fois en 16 ans que je vois ça, surtout avec des vraies IP résidentielles.
Voici un exemple de botnet :
Ici le botnet, il bug, un peu, car ils se sont tous connectés à 7h52 en même temps, et ils se déconnectent en même temps et ils ont tous la résolution d'écran 1366x768 et ils ont d'autres symptomes encore plus évidents
Les IP sont impressionnantes, c'est de l'infini.
Soyons honnête, mais c'est un botnet comme ça qu'il me faudrait : il se connecterait sur Google, il taperait 300 fois le même mot clé sur Google et cela chaque jour avec le nom du site, et il resterait connecté sur le site 10 minutes... héhé.
Si vous connaissez des prestataires, faites-moi signe en privé.
Je suis administrateur d’un tchat. Vers mi-septembre 2026 et ce matin, j’ai constaté quelque chose d’étrange :
- Qu’il y avait plusieurs faux utilisateurs (peut-être un botnet)
- Les trucs sont assez intelligents
- Ils ont tous la même résolution d’écran (1366x768)
- Les IP sont toujours différentes et elles sont sans limite
- Les IP ne sont pas bannissables, car ce sont de vraies IP de type : Orange, Free, SFR, Bouygues, Belgacom, de la Suisse aussi…
- Ils sont toujours présents en nombre de 3 ou 4 et ils restent connectés environ 10 minutes. Ils envoient que 5 - 10 messages environ quand ils sont connectés
- Ils savent reconnaître le meilleur onglet là où les messages privés arrivent
- 100 % des robots n’ont pas de compte, ils passent tous par l’accès direct sans inscription
J’ai suivi de très près via les logs HTTP afin de les tracer, voici comment ils procèdent :
1) Il se connecte sur la page d’accueil du site (il y a le formulaire directement sur la page d’accueil)
2) Le formulaire semble rempli en 9 secondes environ
3) La connexion se lance
4) Une fois connecté, il arrive à localiser l’onglet là où arrivent tous les messages privés
Voici ce que j’ai constaté :
- Vers mi-septembre, j’ai mis un CAPTCHA d’un code à 4 caractères à recopier uniquement pour l’UA « Firefox ». Ils sont incapables de le remplir.
- J’ai l’impression qu’il y a un mec ou un humain qui décide ou non d’arrêter son botnet (multi-users). Mi-septembre, j’ai constaté qu’il y a un suspect qui a sûrement entré le code du CAPTCHA, il est resté longtemps, il n’a rien spammé, et il avait une résolution « 1366x768 ». Ensuite, c’est peut-être dans ces moments-là qu’il a arrêté son robot ou ses robots.
J’ai essayé d’imaginer comment il pourrait être créé ce robot, voici mon avis :
- On dirait que c’est un ordinateur portable avec comme résolution d’écran 1366x768
- Cet ordinateur fait toujours tourner des robots en boucle
- Les robots n’ont jamais la même IP lorsqu’ils sont connectés simultanément
- Les robots, quand ils se connectent sur le site (ou le tchat), restent seulement 10 minutes et ensuite ils se déconnectent et reviennent avec un nouveau pseudo, une nouvelle IP, un autre user agent, un autre user agent hint. Ils étaient sur Firefox vers mi-septembre, mais ce matin (04/10/26), c’était Chrome et plusieurs autres navigateurs et plusieurs OS. Tous sous la même résolution d'écran.
- J’ai modifié le CAPTCHA pour que tous les utilisateurs de tous les navigateurs le reçoivent (tous les no accounts). Ils sont incapables de revenir, ce qui prouve que c’est automatique
- On dirait qu’il y a un humain qui pourrait éventuellement localiser ou scraper des éléments HTML, et même dynamiquement, afin de les paramétrer pour y répondre automatiquement plus tard. Donc avant de tout lancer la première fois, il règle des paramètres pour scraper.
Voilà, c’était pour vous prévenir, de faire attention : il y a des bots intelligents qui visitent nos sites, se comportent comme de vrais humains, et ont des IP comme les vrais utilisateurs. Le nombre d’IP n’a pas de limite, et les bots peuvent bosser 2 jours sans interruption.
J'aurais pu faire des tests, comme par exemple afin de voir s'ils ont une « souris qui bouge », par exemple en récupérant les positions de la souris à des intervalles réguliers, ou plein de conneries comme ça, mais j'ai pas très envie de perdre des heures sur des conneries comme ça. Du coup, avec le CAPTCHA dont il faut recopier 4 caractères, ça règle le problème.
Première fois en 16 ans que je vois ça, surtout avec des vraies IP résidentielles.
Voici un exemple de botnet :
Ici le botnet, il bug, un peu, car ils se sont tous connectés à 7h52 en même temps, et ils se déconnectent en même temps et ils ont tous la résolution d'écran 1366x768 et ils ont d'autres symptomes encore plus évidents
Les IP sont impressionnantes, c'est de l'infini.
Soyons honnête, mais c'est un botnet comme ça qu'il me faudrait : il se connecterait sur Google, il taperait 300 fois le même mot clé sur Google et cela chaque jour avec le nom du site, et il resterait connecté sur le site 10 minutes... héhé.
Si vous connaissez des prestataires, faites-moi signe en privé.
Il paraît que c'est en forgeant qu'on devient forgeron! 
), ShapBot a claqué 1500 sessions en moins de 3 mn! Depuis, c'est quasiment la 1ère ligne du htaccess pour le bloquer !
