странное сканирование

ничего не меняется - каждый день продолжается этот забег по 10 страницам сайта.

Забить ?

suffix, а юзер агент то какой? Может это бот? Я таких по USER-Agent вычищаю пачками еженедельно.

Что это боты понятно но USER-Agent нормальный:

Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.109 Safari/537.36

suffix, да по user-agent не заблокировать. А IP Российские? Если какой-нибудь ДЦ, может их подсеть заблокировать на время? Как вариант конечно. Или ничего не делать.

Посмотрел отчёты сканер безопасности - после таких переходов сразу пытаются "Попытка атаки через XSS" через форму добавления объявления залить какую-то простынь с репликами часов.

И ещё - это реже штук 15-20 одновременных подключений к сайту с разных IP с каждого по 50 переходов по сайту и снова пытаются залить в объявления эту фигню.

Ну если не получается несколько месяцев - зачем фигнёй страдать ?

Скорее всего программа на автомате долбит, вдруг что-то изменится.

suffix, автоматически бьют. Блокируйте их по IP и не парьтесь. Рано или поздно это прекратится.

Забанил два десятка IP где-то -- посмотрим что получится

Use this script: /ru/forum/958253

71155388 заблокированных IP