垃圾车で巡回してみるが事故る

SENJUのごみ漁りをきっかけに偽サイトに興味を持ち始めたのですが、既に先駆者が色々とやっている中で中身のないことを書いてて嘲笑されてるんじゃないかと思いながらも懲りずにごみ漁りを続けていたら、ビジネスとして詐欺サイトを調査されている会社さんのページに遭遇しました。

このGWは、暇すぎるのでボケ防止にコードを(書くこと&弾くこと)を日課にしていたのですが、上記の会社さんの記事でギター販売の偽サイトも紹介されてることを知り、ちょっと漁ってみました。

f:id:tadmaddad:20200506165206p:plain
紹介されていた楽器販売の偽サイト

これら偽サイトはほぼ内容は同じではあるもののサイト(ドメイン)ごとに記載されている住所やメールアドレス等はいずれも異なるようです。また、サイトは単一のホスト上で運営されている模様です。

f:id:tadmaddad:20200506170750j:plain
Maltegoでぽちっと

ひょっとしたら他にも偽サイトがあるのかな?ということで上記ホストに紐づく他のサイトも確認してみたところ、約1600サイトが紐づいているようです。これらサイトの全てが偽サイトであるかは確認できていませんが、幾つかのサイトをピックアップしてアクセスしてみたところ、上記の会社さんが紹介していた偽サイトと同様の作りとなっていることが確認できました。

f:id:tadmaddad:20200506171326p:plain
RiskIQ(PassiveTotal)で確認

f:id:tadmaddad:20200506171915p:plain
アクセスできたサイトの一つ(偽サイトっぽい)

せっかくなので定番のurlscanに放り込んでみたのですが

f:id:tadmaddad:20200506172217p:plain
urlscanに放り込んでみたら

Yahooに飛ばされる状態に。。。 どうもurlscanさんはNordVPN経由でアクセスしているようで(自身のVPS環境に対してurlscanでアクセスして確認してみました。)、今回の偽サイトはurlscanのようなところからのクローリング対策をしているかもしれません。

仕方がないので自分でクローラーもどきでも作ってみようかということで、垃圾车(ごみ収集車)と命名したTor経由でクローリングしてみるも再びYahooに飛ばされちゃいました。その後、Tor + User-Agentのランダム切り替え実装するもダメ。これはやっぱマイナーなVPN借りるしかないかと思ったものの、結局は最近は全く使ってないVPS経由でやってみたころ、何とか行ける気配!(けどスクショ取ってない)

途中までうまくいっていたもののサイト構成によってスクレイピング失敗するのを修正して再々トライしたところ、再びYahoo行きとなりました。(同一IPからのアクセスなのでそうなるだろうと覚悟していたもののやっぱりやらかした感。)連中も色々と対策していることを身をもって知るGWとなりましたわ。やはりVPN契約するしかないのか。。。

ちなみに対象ホストってネットワーク的にはAS 32097 ( WholeSale Internet, Inc. ) なんだけど、コンパネを覗くと中国語なページなんですよね。

f:id:tadmaddad:20200506174206p:plain
中国語のコンパネ

宝塔ってなんやねん?ってヘルプからアクセスしてみると中国の方向けのホスティングっぽいですね。

f:id:tadmaddad:20200506174402p:plain
宝塔ってなんやねん?