ブログ - メッセージの宛先: [うちのメアド] | からのお知らせ Active! mail の上 22/08/2023
メッセージの宛先: [うちのメアド] | からのお知らせ Active! mail の上 22/08/2023
- カテゴリ :
- セキュリティ » スパム・フィッシング
- ブロガー :
- ujpblog 2023/8/22 21:11
Active Mailのようなテイストな迷惑メールが届いた．
引用：
"3 メッセージ通知.htm"と"am_logo.png"という添付ファイルが付いていて，メーラによってam_logo.pngは表示されている．
まずはメールヘッダを確認．
G-Core Labs S.A.というルクセンブルク大公国にある会社のホスティングサービスが利用しているIPアドレスから送信されている形跡がある．
ルクセンブルグは，フランスとドイツとベルギーに囲まれた人口62万人の小国だけど，経済的には992年以降一人当たりのGDPは世界首位で，とても豊かな国だそうです．税率が低いのでIT企業が本社を移しているそうで，Skypeは完全に本社機能がここにあるのだとか．楽天もルクセンブグルに欧州本社を置いてるんだそうで．というような国からなので，フィッシングメールが来るのも不思議ではなさそう．
IPアドレスの部分にメアドっぽいものが入っていたので，そのドメインを調べてみた．
wwはワールドウィングの略なのか． サイトにアクセスしてみる．
なるほど，Adobe Flashをトップに設置しているあたり，長期間メンテナンスされてないサイトのように見える．
このWebサーバのIPアドレスを調べると，これは株式会社 KDDI ウェブコミュニケーションズの管理するIPアドレスの模様．
そして添付ファイルのHTMLを見ると，BASE64でエンコードされ難読化されたデータがあった．
これをデコードしてみたら，誘導先のURLが出てきたのでトレンドマイクロで評価．
フィッシングサイトだと判定．
ここまで調べて既視感があったので，思い出したら【緊急通知】 【info】 さんへの新しいボイス メッセージ ActiveMailを使った迷惑メールと同じ感じでした．
前回と全く同じように大塚商会のメールサイトを確認したら，不審なメールが増えているようです．
今回の場合，ワールドウィング静岡のメールアカウントが乗っ取られて，送信に使われたような感じですね．
引用：
おはよう、
メッセージが 3 件あります [ドメイン] 隔離フォルダー
受信者: info@[ドメイン].jp
日付： 22/08/2023
重要なメッセージが添付されておりますので、添付内容をご確認の上、取得してください。
重要なメッセージが添付されておりますので、添付内容をご確認の上、取得してください。 info@[ドメイン].jp のために [ドメイン].jp
<3 メッセージ通知.htm>
"3 メッセージ通知.htm"と"am_logo.png"という添付ファイルが付いていて，メーラによってam_logo.pngは表示されている．
まずはメールヘッダを確認．
G-Core Labs S.A.というルクセンブルク大公国にある会社のホスティングサービスが利用しているIPアドレスから送信されている形跡がある．
ルクセンブルグは，フランスとドイツとベルギーに囲まれた人口62万人の小国だけど，経済的には992年以降一人当たりのGDPは世界首位で，とても豊かな国だそうです．税率が低いのでIT企業が本社を移しているそうで，Skypeは完全に本社機能がここにあるのだとか．楽天もルクセンブグルに欧州本社を置いてるんだそうで．というような国からなので，フィッシングメールが来るのも不思議ではなさそう．
IPアドレスの部分にメアドっぽいものが入っていたので，そのドメインを調べてみた．
wwはワールドウィングの略なのか． サイトにアクセスしてみる．
なるほど，Adobe Flashをトップに設置しているあたり，長期間メンテナンスされてないサイトのように見える．
このWebサーバのIPアドレスを調べると，これは株式会社 KDDI ウェブコミュニケーションズの管理するIPアドレスの模様．
そして添付ファイルのHTMLを見ると，BASE64でエンコードされ難読化されたデータがあった．
これをデコードしてみたら，誘導先のURLが出てきたのでトレンドマイクロで評価．
フィッシングサイトだと判定．
ここまで調べて既視感があったので，思い出したら【緊急通知】 【info】 さんへの新しいボイス メッセージ ActiveMailを使った迷惑メールと同じ感じでした．
前回と全く同じように大塚商会のメールサイトを確認したら，不審なメールが増えているようです．
今回の場合，ワールドウィング静岡のメールアカウントが乗っ取られて，送信に使われたような感じですね．
