SleepBot: бот, чья загадка заинтересовала даже Hacker News — сайт в UA не обновлялся с 2008 года

SleepBot — один из самых любопытных «нерасшифрованных» ботов в этой серии, и не только из-за отсутствия официального оператора. Сайт, на который ссылается сама строка User-Agent — http://sleepbot.com/, причём именно по протоколу http, без защищённого соединения, — по наблюдениям сообщества вебмастеров не обновлялся ещё с января 2008 года. Ссылка в UA технически рабочая, но ведёт в далёкое прошлое веба, а не на актуальную страницу действующего сервиса.

Дело, которое заинтересовало не только вебмастеров, но и Hacker News

Показательно, что этим ботом заинтересовались не только администраторы сайтов, разбирающие access.log, но и участники технического форума Hacker News, попытавшиеся выяснить происхождение бота отдельным расследованием. По их наблюдениям, сайт, на который ведёт ссылка из UA, оказался домашней страницей человека, интересующегося технологиями и эмбиент-музыкой, который сам не появлялся в сети примерно пять лет, но всё ещё держит работающий Shoutcast-стрим интернет-радио; архив Wayback Machine показывает минимум изменений за более чем десятилетие. Ссылка на резюме с этой страницы вела на аккаунт GitHub с другим именем пользователя, где значился всего один зарегистрированный issue за текущий год — то есть какая-то минимальная активность, но крайне скудная. Само обсуждение на Hacker News было озаглавлено вопросом «не рекламируют ли мне ARG через логи User-Agent» — то есть часть сообщества всерьёз рассматривала версию, что это не коммерческий или исследовательский краулер в привычном смысле, а часть какой-то альтернативной реальностной игры или личного проекта, а не стандартного бизнес-инструмента для сбора данных.

Параметры бота

Почему это не повод расслабляться

Загадочное или даже по-своему любопытное происхождение бота не делает его безопаснее с практической точки зрения. Один из зафиксированных на форуме phpBB случаев прямо описывает эпизод, где трафик, представлявшийся как SleepBot, вёл себя как атака: агрессивно и массово сканировал форум, игнорируя как добавление в список запрещённых ботов, так и явный запрет в robots.txt — притом что, по ожиданиям администратора, легитимный SleepBot должен был бы эти правила уважать. Это ровно тот случай, когда стоит подозревать смешение двух разных явлений под одной строкой: возможно, некий изначальный, менее агрессивный SleepBot действительно существует (или существовал), но имя достаточно малоизвестно и слабо задокументировано, чтобы им беспрепятственно пользовались и сторонние, куда менее добросовестные скрипты.

Сколько трафика он создаёт

По сводке TrafficVeil, паттерн запросов sleepbot на подключённых доменах составил порядка 10 тысяч за март–июнь 2026 года (июнь — по 14 число). Учитывая полное отсутствие официальной документации и противоречивые сообщения о поведении, этот объём стоит рассматривать с осторожностью независимо от абсолютной величины.

Как найти бота в логах

grep -i "SleepBot" /var/log/nginx/access.log

Учитывая задокументированные случаи явно агрессивного и не соблюдающего правила поведения под этим именем, для проверки происхождения конкретных запросов стоит обязательно свериться с ASN через whois, а не полагаться на одну лишь строку заголовка:

IP="1.2.3.4"
whois -h whois.cymru.com " -v $IP"
dig +short -x "$IP"

Как заблокировать

При отсутствии подтверждённого оператора, официальной документации и учитывая задокументированные случаи агрессивного поведения — запрет по умолчанию является наиболее взвешенной позицией:

User-agent: SleepBot
Disallow: /

if ($http_user_agent ~* "SleepBot") {
    return 403;
}

Robots.txt здесь — не гарантия: как показывает зафиксированный случай на форуме phpBB, часть трафика под этим именем правила прямо игнорировала, поэтому запрет обязательно стоит дублировать на уровне сервера. На позиции в поисковой выдаче Google, Bing или Яндекса блокировка не влияет — это не поисковый краулер ни одной из систем.