1Campaignでクローキング｜ブログ(ほぼこもセキュリティニュース)

1Campaignは、脅威アクター向けに展開されているサービスの名称です。
提供する内容はクローキングです。

クローキング（Cloaking）とは、Webサイトにアクセスしたユーザ（人間）と検索エンジンのロボット（クローラー）に対して、それぞれ異なるページコンテンツを表示する不正なSEO手法です。
検索エンジンを騙して上位表示を狙う「ブラックハットSEO」とみなされ、Googleのガイドラインで厳しく禁止されており、ペナルティにより順位低下やインデックス削除の対象となります。
かつてはSEO施策の一つとして行われていましたが、現在はGoogleのガイドラインに違反しているとみなされる行為です。

1Campaignは、Googleの審査プロセスを通過し、悪意のあるコンテンツを真の被害者候補にのみ表示するクローキングサービスです。
セキュリティ研究者や自動スキャナーには、無害なホワイトページが提供されます。
このツールの利用により、フィッシングや暗号資産流出のページをできるだけ長くオンラインに維持し、実際のユーザを脅威アクターが管理するサイトに誘導しようというわけです。
1Campaignは、MaaS（Malware as a Service）で提供されています。

ダッシュボード
MaaSでは、ダッシュボードが提供されています。
そこでは、設定機能だけでなく、すべての訪問者の詳細な統計情報が表示できる機能なども提供されます。
1Campaignを使用して展開している脅威アクターの実施している脅威活動の特定のURLで、何回の訪問者が無害側コンテンツが提供され、別の何回の訪問者が有害側コンテンツが提供されたのかを確認できます。
スコアリング
各訪問者にはスコアが設定され、その結果を確認することもできます。
IPアドレス範囲、ISP、行動パターンに基づいてセキュリティスキャナーかどうかを判定しスコア設定するという動きとなっています。
ターゲティング
1Campaignを利用して、脅威キャンペーンを特定の国とデバイスタイプに限定することができます。
日本のWindowsのPCだけを対象にしよう、といった具合です。
これにより、フィッシングのコンテンツの対象者に対しての妥当性を向上させたり、セキュリティ研究者や自動スキャナーが一般的に活動している国からのトラフィックをフィルタリングすることを狙います。
Google広告作成支援機能
Google広告を申請する際には、フォームに申請内容を記入することになります。
この申請内容を作成する際に使える機能がMaaSで提供されています。
この機能により、1CampaignのユーザはGoogle広告ポリシーの制限を回避し、広告の見出しや説明文に「誰でもテキストや単語を使って」広告を掲載できるようになります。