まずはメールヘッダを確認．



　送信元は株式会社アイシスという会社で，メールエンジン自体は大塚商会のアルファメールを利用している模様．アルファメールは2022/9/6にも不審なメールが来たので，よく乗っ取られているのかなぁ．
　メールサービスを提供している会社のメールサーバから送られているメールはSpamAssasinも悪い評価はつけない模様．

　株式会社アイシスという会社を調べてみました．



　Webサイトに既に「なりすましメールにご注意」と掲載されています．Webサイトの作り方からすると，こじんまりとした中小企業のようで，Wix.comを使ってサイトが作られていますね．

　大塚商会のアルファメールのサイトにも．



　まぁ，この最新情報として注意喚起が掲載されているけれど，過去の注意喚起は削除されているから，常に出ているのかもしれないね．

　では，添付ファイルの中身を確認してみます．

　ソースコードにGIFファイルががimgタグ内に埋め込まれています．



　BASE64なので，デコードしてみます．

ラッコツールズ
https://rakko.tools/



　Active!mailのロゴが出てきました．

　ソースコードを読み進めてみます．



　loginや無効なパスワードなどのエラーメッセージ文が見て取れます．　
　GIFファイルをデコードします．


　ログイン用の画面を構成するHTMLファイルの模様．

　ちなみにActive!Mailはtiktokいいね！専任アルバイトを募集。初期費用なしの時にもアカウント乗っ取られて迷惑メールを送信されていた実績があるようだけれど，利用者数も多いからそれを装うのも違和感がないのかも．

　さらに読み進めると，url getting aiなるセクションで不思議な文字列が．


　
　これは何かでエンコードされた感があるので，エンコードマニアクスを使って調べてみます．


　なにやらURLが出てきました．

　まず，FQDNを調べてみます．

　直接トップページにアクセスすると，コロンビアの不動産会社に到達しました．



　評価サイトで確認してみます．







　表面上は問題ないというか，SCAM ADVISORでは100点を取っていますね．
　その理由は・・・


　トレンドマイクロの信頼を得ているという点もあるようです．

　早速，デコードで判明したURLにアクセスしてみます．


　するとエラーになりました．
　このドメインのサブディレクトリgmo配下に何かよくないプログラムが投入されている模様．

　添付ファイルのソースを見るとこんな感じ．


　結局，Active!Mailのログイン画面を装ってログインユーザIDとパスワードを搾取しようとするフィッシングメールということの模様．

　ソースコード内にあったGoogle Driveのファイルを確認すると，次の通り．


　voicemsg.wavなので，最初のメールの通りボイスメッセージがあるように見せかけた模様．

　Google Driveに置いてあったボイスメッセージは早口英語で聞き取れないので，書き起こしサービスを使ってみた．


　今回使ったのは，このVEED.IOのAdd Subtitles to Videoです．


　書き起こしをして取り出せたテキストと翻訳．

引用：　いかにも外国的な内容かな．