『詐欺メール』「MyEtherWallet」から「CHSB【トークン】を15,000枚受け取ることができます」と、来た件

貰えるトークンの枚数が減っているし(笑)

2月いよいよ春めいてきた今日この頃。
このところほんと多くの「MyEtherWallet」を騙ったメールがよく流れてきます。
今日もそんな詐欺メールをご紹介。

って言っても、内容は一緒なんですがね(笑)
じゃ、なぜそんな同じ内容のを何度も紹介するのかって？
今回のはワードサラダが満載だったからです。

上の図が今回紹介するメール。
プロパティーはこんな感じ。

差出人は「MyEtherWallet <noreply@myetherwallet.com>」
当然ウソです(笑)

そして件名は「[spam] CHSB【トークン】を15,000枚受け取ることができます。」
今回のメールには受け取れるークンは15,000枚って書いてありますね。
どーでも良いけど先回は20,000枚だった気がしますが…

さて、このメールのヘッダーがこちら。

よく見ると、”Received”フィールドと”Message-ID”にも「vxktxzt.org」なんて
「MyEtherWallet」には全然関係のないドメインが見え隠れしています。
ここに見える[139.213.211.122]ってのがいつも言う送信者が利用したメールサーバーの
IPアドレス。
これを解析することで送信サーバーの在りかを確認することができます。
とあるサイトにこのIPを入力して調査してみると…

発信元は中国だったことが分かりました。
それもこのようなドメインを使ってるサーバーです

ワードサラダはTEXT表示で確認

このメールで特に紹介したいのは最初に書いたように「ワードサラダ」
この「ワードサラダ」については何度も紹介しているので詳細は省きますが、意味不明の
文字を並べてサーバーのスパムフィルターってセキュリティーを突破しようとする試みです。

この「ワードサラダ」は通常のHTMLでの表示では目にすることはできませんが、メーラーの
設定をTEXTでの表示に切替えてみるとあぶり出しのように浮き出してきます。
このメールのそれがこちら。

気持ち悪いでしょ？
でも、件名を見た通り[spam]ってしっかりスタンプされているんでうちのサーバーは
突破できなかったようですね。(笑)

表面上のURLに騙されるな！

このメールに記載されているURLが詐欺サイトへのリンクです。
HTML表示の文面ではこう書かれています。

でも、「ワードサラダ」を紹介した上の画像でちょろっと見えてるように実際の詐欺サイトへの
リンク先URLはこちら。

これも偽装されていましたね。
それに、このリンク先URLに”wp-content”って文字が見えるのでこのサイトはワードプレスって
ブログで構築されているのが分かります。

接続してみましたが、すでにトンズラしたようでサスペンドと表示されました。

もう稼働していないので詳細に調査することはやめておきますが、最近特にこの
「MyEtherWallet」を騙った詐欺メールが急増していますので要注意です。
目先のトークンに目がくらまないようご注意くださいね！