När jag började skärmbildsgranska domänerna i Varningsdatabasen tänkte jag ganska enkelt. En aktiv investeringssida var aktiv. En sida som gav 404 var död. En domän som låg till salu hade sannolikt lämnat bedrägerimiljön.

Efter drygt 8 000 manuellt granskade domäner tror jag inte längre att de etiketterna räcker.

Jag har mött parkerade domäner, felkonfigurerade servrar, phishingblockeringar, försäljningssidor, neutrala redirects och fullt aktiva investeringsformulär. Jag har också sett hur samma typer av domäner återkommer i gemensamma tekniska miljöer, hur aktiva webbmallar ersätts och hur investeringsinnehåll kan växla till falska verifieringsflöden och scareware.

Det finns dessutom ett ännu större metodproblem: samma domän behöver inte visa samma sida för mig som för den person som kommer genom rätt annons, affiliate-ID eller kampanjlänk.

1. Tre faser – men inga permanenta domäntyper

Den arbetsmodell som nu växer fram utgår från tre observerade faser. De beskriver hur en domän framstod vid kontrollen. De ska inte läsas som fasta eller slutgiltiga klassificeringar.

Det viktiga är att en domän kan röra sig mellan faserna. PROLOG kan bli AKTIV. AKTIV kan gå över i EPILOG. EPILOG behöver inte vara slutpunkten. Domänen kan återkomma i en ny aktiv skepnad, med en ny mall eller med ett annat bedrägerimodus.

2. PROLOG – reservlagret före aktivering

En stor del av det manuella arbetet består av adresser som vid första anblick ser ointressanta ut. De ligger till salu hos domänmäklare, visar en standardsida, svarar med 404 eller saknar fungerande webbkonfiguration.

Det betyder inte automatiskt att varje sådan domän är en planerad reservdomän. Men när samma typer av namn samtidigt delar namnservrar, MX, A-IP, hostmiljöer, bilder, webbmallar eller andra fingerprints med aktiva och varnade domäner blir de analytiskt relevanta.

PROLOG är därför en arbetshypotes om ett möjligt reserv- och failoverlager: registrerade objekt som kan kläs med innehåll när en kampanj, ett brand eller en distributionskanal behöver nya landningssidor.

3. AKTIV är inte samma sak som VARNAD

En aktiv domän kan redan vara direkt myndighetsvarnad. Den kan också vara helt okänd för myndigheterna men ändå använda samma webbmall, bilder, formulär och tekniska miljö som tidigare varnade objekt.

Omvänt innebär en publicerad varning inte automatiskt att domänen har slutat fungera. I det manuella materialet finns många varnade adresser som fortfarande visar registreringsformulär eller annat aktivt innehåll.

Varning och driftstatus är därför två separata dimensioner:

4. Bedrägeriet kan byta modus

Det aktiva innehållet behöver inte heller vara ett investeringsupplägg varje gång. Jag har observerat falska verifierings- och valideringsflöden som först tycks kontrollera besökaren eller enheten och därefter påstår att ett säkerhetsproblem har hittats.

Besökaren leds sedan mot scareware: program eller tjänster som påstås lösa ett uppdiktat hot. En domän kan alltså lämna investeringsnarrativet utan att lämna bedrägeri- eller skadeområdet.

Fas och modus måste därför hållas isär. En domän kan vara AKTIV men växla mellan investeringsbedrägeri, falsk verifiering, scareware, phishingliknande flöden, casino- eller lotteriredirects och andra former av monetisering.

5. Samma domän kan visa olika verkligheter

Det mest förrädiska är att innehållet inte bara kan ändras mellan olika dagar. Det kan även variera samtidigt beroende på vilken besökare som kommer in.

Detta brukar beskrivas som cloaking, villkorlig visning eller trafikfiltrering. Samma teknik kan användas för legitim målgruppsanpassning, men i en bedrägerimiljö får den en tydlig metodisk konsekvens: två analytiker kan besöka samma adress och få olika resultat.

Även samma analytiker kan få olika innehåll beroende på om domänen öppnas direkt, via ett sökresultat eller genom den fullständiga kampanj- och affiliate-URL:en.

6. Kontrollera mer än startsidan

En annan sak jag har fått lära mig är att startsidan inte alltid är webbplatsen.

En domän kan visa 404, parkering, försäljning eller en neutral redirect på rotadressen och samtidigt ha indexerade undersidor med registreringsformulär, kampanjtexter, äldre landningssidor eller helt andra aktiva flöden.

7. En skärmbild är evidens – men inte hela facit

En skärmbild är stark evidens för vad som visades för en viss besökare, i en viss miljö och vid en viss tidpunkt. Men den är inte automatiskt ett fullständigt svar på vad domänen visar för andra besökare eller genom andra ingångar.

För framtida kontroller blir därför följande uppgifter särskilt värdefulla:

• fullständig URL, inklusive parametrar och affiliate-ID,
• tidpunkt för besöket,
• redirectkedja och slutdestination,
• referer eller den ursprungliga kampanjlänken,
• besöksland, IP-/nätmiljö, webbläsare och enhet,
• skärmbilder före och efter interaktion,
• site-sökning och andra indexerade undersidor.

8. Vad detta betyder för utredning och tillsyn

Om en domän kan växla både över tid och mellan olika besökare räcker det inte alltid att öppna rotadressen en gång och notera vad som syns.

En mer robust kontroll kan behöva omfatta flera ingångar: direktbesök, fullständig kampanj-URL, site-sökning, redirectkedja, tekniska relationer och återkommande observationer från mer än en miljö.

Det betyder inte att varje parkerad, trasig eller neutral sida döljer ett bedrägeri. Men det betyder att ett enskilt neutralt svar inte säkert avför en domän när den samtidigt har starka relationer till aktiva eller varnade miljöer.