Спам-бот на Пикуко [Загадки Пикуко]

Всем привет!

Не так давно Апелькот делал рубрику с разрушением мифов о Пикуко. Но я поступлю несколько иначе. Если он разоблачал в основном техническую часть сайта (баги и прочее), то я решил пойти в более мистическое русло. Надеюсь, вам понравится!

Всё началось с достаточно простой задачи - обновить айсберг по Пикуко. При этом, я и команда исследователей в лице Мопса, vlad_A4crush и Лимака решили рассмотреть несколько пунктов с самого дна. Но один из них привлёк наше внимание больше всего.

Эти два аккаунта (ссылки на первый и второй) ещё тогда показались мне очень странными. Нулевая активность (ни комментов, ни прохождений, ни чего-либо ещё), странные никнеймы, разница в регистрации буквально в один день. Но в тот день я не сильно придал этому внимания, просто запихнув их ближе ко дну айсберга. 

Теперь же, мы решили просмотреть - что это вообще такое. И наше "расследование" породило ещё больше вопросов, чем ответов.

Сперва я решил скопировать этот набор букв в начале ников и проверить точные совпадения в поисковой систем. Результатов бло крайне много. Один из первых и основных - профиль на сайте "Этногенез.ру".

Примечательны сразу несколько вещей. И та же странная белиберда в нике (с той лишь разницей, что вместо Яндекса теперь Гугл), и отсутствие аватарки, и, самое главное, "город", записанный странным набором символов.

Перейдя на страницу "города", можно увидеть, что оттуда как минимум 1805 аккаунтов. Сразу можно было подумать, что это так "зажевало" название какого-то обычного города. Но вот незадача, декодер ничего не выдал. Прямо вообще ничего.

Вместе с этим, все аккаунты из этого "города" имели очень странный внешний вид, который почти повторялся из раза в раз.

Затем пошли и вовсе аккаунты с типичными фишинговыми ссылками и странными "закодированными" предложениями. Примерно такое же от моего имени рассылалось, например, в Одноклассниках, когда меня взламывали.

Вот скрин, если кому страшно переходить по ссылке. Но идти на сам сайт из ссылки в нике я бы не стал.

Поиски "города", а вернее сочетания символов Р РѕСЃСЃРёСЏ не привели ни к чему вразумительному. Ссылки, содержащие это, валялись по всему интернету. И в ответах Мэйл.ру, и в Яндекс Картинках и в других сайтах с достаточно странным содержанием. 

Вообще, подобные символы действительно возникают там, где не поддерживается кириллица, но как я уже говорил, декодеры не дали совершенно ничего. Потому, поняв тупиковость этого пути, мы пошли дальше.
Однако, в момент написания поста, мы поняли одну вещь. На скрине с ответов Мэйл.ру был вопрос про государственность России, который ссылался на статью в Википедии. Но так как ответ очень давний, кириллица действительно тогда могла не поддерживаться. Потому, данный набор символов - "Россия", что объясняет его частое попадание.

На одну загадку меньше, но до главного ещё далеко.

Теперь мы поняли, что большинство этих аккаунтов из России. Однако то, почему они ввели место жительства таким способом - остаётся загадкой.

После понимания тупиковости прошлого пути, я продолжил искать точные совпадения того набора символов из пикуковского ника. И нашёл очень интересное.

Обычно аккаунты где-либо с подобным сочетанием букв - пустышки, которые ничего не пишут, ни на кого не подписаны и просто остаются висеть мёртвым грузом. Но не в этих случаях...

Да, вполне осознанные отзывы на сайте с товарами для самогонки...

Оставив это как важную улику, я отправился дальше, понимая, что за этим может стоять некто из России. Но каково же было моё удивление, когда я обнаружил комментарий того же самого пользователя (как минимум с тем же ником) на немецком сайте по организации свадеб.

Причём в данном случае комментарий был написан совершенно не в тему. От участников просили присылать свадебные фотографии, в то время как наш персонаж написал просто "современные коммуникации".

Запомните этот сайт. Он нам ещё пригодится.

Спустя ещё минут 20 поисков у нас появилось лишь две зацепки. 

Первая вывела нас на одного мужика из Германии, который был политиком, доктором и юристом. Как выяснилось, его имя просто отдалённо похоже на набор символов в никах людей. Потому, с ним мы только сделали мемы из-за формы его головы (мемы будут в конце поста).

Вторая куда более интересная. На одном из сайтов мы наши ещё один e-mail - seregainbox123@gmail.com. Сперва казалось, что это ещё хуже, поскольку вроде как российский адрес почты, но при этом появляется чёрти где. Однако, потом я решил вбить точные совпадения по данному адресу и мне выдало следующее:

Тут уже сложилось чёткое понимание, что дело мы имеем со спам-ботом. Однако, не совсем понятны ещё некоторые вещи.

Главная из них - где именно находится IP-адрес? Одни сайты говорят, что в Москве (с чем согласилась наша команда и даже нашла имя потенциального владельца адреса - некий Евгений Кашаев, чей адрес и телефон тоже известны, но писать их тут я не буду), другие же сайты (в том числе тот, что на скрине) говорят про Германию. А часть и вовсе про Нидерланды.

Оставив это в голове, мы продолжили поиски и нашли ещё одну деталь. Помните адрес почты "Серёги"? Сравните его с теми, что оставлены в отзывах на немецком сайте с организацией свадеб:

Интересно, да? Особенно ники тех, кто оставили эти адреса почты. А особенно второй. Вернитесь ещё раз к скриншоту с посетителями сайта "Этногенез". Ничего схожего не находите?

После мы снова продолжили поиски по известным нам маркерам и где только не находили подобные ники и адреса. На сайте какого-то музея в белорусском городе Орша, на сайте с боснийскими народными песнями, на сайте с данными по какому-то человеку из Дагестана и ещё очень много где.

Помимо всего прочего, по номеру телефона этого Кашаева, о котором я говорил выше, мы вышли на компанию, которая продаёт или сдаёт в аренду IP-адреса. Теперь всё более чем очевидно. Это - армия ботов, которые существуют на разных сайтах.

Редкое появление аккаунта с буквой b на конце. Обычно на конце у всех стояла a.

Однако, всё ещё непонятна цель существования этих ботов. У части их них нет фишинговых ссылок, они просто так перекидывают адреса электронных почт, на части сайтов их категорически мало для ДДОС-атаки. 

Также непонятно то, почему на некоторых сайтах подобные боты оставляли вразумительные комментарии. Наша теория заключается в том, что это украденные и переименованные аккаунты. С какой целью - снова не очень понятно.

При этом, на Пикуко были не только представленные в начале поста аккаунты. Первый, второй, третий. Первый и третий зарегистрированы с разницей в неделю. А второй имеет некоторую связь с теми, что указаны в начале поста. Какую?

Они оба закончили Ульяновский государственный университет))))

Последняя странность - во вторых частях ника. Почти все имеют на конце google, кроме тех, кто попали ко мне в айсберг. У них - yandex.

К сожалению, мы так и не выяснили до конца, что это вообще за чертовщина и зачем. Но будем рады вашей помощи в комментариях. А пока - мемы с тем мужиком из Германии со странной формой головы!)