ブログ - アマゾンの規約に違反したため、アカウントがロックされました！ というフィッシングメール
アマゾンの規約に違反したため、アカウントがロックされました！ というフィッシングメール
- カテゴリ :
- セキュリティ » スパム・フィッシング
- ブロガー :
- ujpblog 2022/7/22 2:28
普段とちょっと違う面持ちのフィッシングメールが来たので調べてみた．
以前ヤマト運輸を騙るフィッシングメールのなかに埋め込まれていたWebビーコンと同じアイコンを示すビーコンが出てて，前回はIPアドレスだったけれど今回はURLだったのでそれも調べてみた．
トルクメニスタンという国に覚えがないので，ちょっと調べてみた．
なるほどソ連の一部だった国で，永世中立国だそうだがロシアと中国に近しい模様．
誘導先のURLはロックダウンされていたので，代わりにメールのフッタに仕込まれているビーコンを調べてみる．
メールボディはBASE64でエンコードされているのでデコードしてソースを見たら，ビーコンのURLが出てきた．
ビーコンの示すWebサーバアクセスしてみる．
Microsoft Defender SmartScreenではすでに警告が出ている．構わずアクセスしてみる．
何かのログイン画面が出てきたが，「邮件统计退订管理系统」は翻訳すると「メール統計配信停止管理システム」だそうなので，ビーコンの管理ツールへの画面．
「新星软件」の部分が運営会社のサイトへのリンクだったのでアクセスしてみる．
Supmailerにちょっと覚えが・・・以前調べたメール配信ツールですな．
ビーコンに埋め込まれていたメールアドレスも気になったので，漏れてないか確認してみた．
残念ながら漏れていました．
メアドが漏れている人のドメインが運営している３文字jpのWebサイトにアクセスして見ました．
"アルナビ"というなんだかリンク集になっている模様．
Web Archiveで2014年のサイトの状態を見てみる．
ほぼ同じだけれど，ちょっとだけリンク先が変わっていることが確認できました．ソースを見ると手打ちっぽいな．
３文字jpドメインをwhoisしてみる．
10年以上運営されている模様．
メールの送信に使われいるドメインをwhoisしてみる．
2021年に再々取得されたのかな．
最近変更されているようだけれど，該当するWebサイトはない模様．
Webアーカイブを見てみると，古いサイトの模様．
1998年のものが出てきた．デザイナー？が持っていたサイトの模様．
2018年時点では，中国人の所有になっている．
以前ヤマト運輸を騙るフィッシングメールのなかに埋め込まれていたWebビーコンと同じアイコンを示すビーコンが出てて，前回はIPアドレスだったけれど今回はURLだったのでそれも調べてみた．
トルクメニスタンという国に覚えがないので，ちょっと調べてみた．
なるほどソ連の一部だった国で，永世中立国だそうだがロシアと中国に近しい模様．
誘導先のURLはロックダウンされていたので，代わりにメールのフッタに仕込まれているビーコンを調べてみる．
メールボディはBASE64でエンコードされているのでデコードしてソースを見たら，ビーコンのURLが出てきた．
ビーコンの示すWebサーバアクセスしてみる．
Microsoft Defender SmartScreenではすでに警告が出ている．構わずアクセスしてみる．
何かのログイン画面が出てきたが，「邮件统计退订管理系统」は翻訳すると「メール統計配信停止管理システム」だそうなので，ビーコンの管理ツールへの画面．
「新星软件」の部分が運営会社のサイトへのリンクだったのでアクセスしてみる．
Supmailerにちょっと覚えが・・・以前調べたメール配信ツールですな．
ビーコンに埋め込まれていたメールアドレスも気になったので，漏れてないか確認してみた．
残念ながら漏れていました．
メアドが漏れている人のドメインが運営している３文字jpのWebサイトにアクセスして見ました．
"アルナビ"というなんだかリンク集になっている模様．
Web Archiveで2014年のサイトの状態を見てみる．
ほぼ同じだけれど，ちょっとだけリンク先が変わっていることが確認できました．ソースを見ると手打ちっぽいな．
３文字jpドメインをwhoisしてみる．
Domain Information: [ドメイン情報]
[Domain Name] MWW.JP
[登録者名] mww
[Registrant] mww
[Name Server] ns1.dns.ne.jp
[Name Server] ns2.dns.ne.jp
[Signing Key]
[登録年月日] 2011/06/02
[有効期限] 2023/06/30
[状態] Active
[最終更新] 2022/07/01 01:05:08 (JST)
Contact Information: [公開連絡窓口]
[名前] さくらインターネットドメイン登録
[Name] SAKURA internet Inc.
メールの送信に使われいるドメインをwhoisしてみる．
Domain Name: SWAMPWEB.COM
Registry Domain ID: 2639887153_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.gathernames.com
Registrar URL: https://www.gathernames.com
Updated Date: 2022-07-19T07:00:32Z 🈁
Creation Date: 2021-09-09T18:21:45Z
Registrar Registration Expiration Date: 2022-09-09T18:21:45Z
Registrar: Hong Kong Juming Network Technology Co., Ltd.
Registrar IANA ID: 3855最近変更されているようだけれど，該当するWebサイトはない模様．
Webアーカイブを見てみると，古いサイトの模様．
1998年のものが出てきた．デザイナー？が持っていたサイトの模様．
2018年時点では，中国人の所有になっている．
