毎日届く「えきねっと」週明け月曜日は、大量のフィッシング詐欺メールで大わらわ…(-_-;)
既出なものと既出でないものの仕分けから始まります。
で、今週最初にご紹介するのはこちらのメール。
最近大量に流れている「えきねっと」に成りすましたフィッシング詐欺メールです。
 書かれているのは、期限以内にログインしないとアカウントが削除されると言った内容。
この件名のメールは、今までに数回ご紹介しています。
最初にご紹介したのは、今年の2月22日。
その時のエントリー内容はこちらです。 『詐欺メール』「えきねっとアカウントの自動退会処理について 」と、来た件
この時は、2年以上ログインの無いアカウントは削除されるので期限以内にリンクから
ログインしろと普通に書かれていました。
でも今回は、ログインしていない期間が2年ではなく長時に変更された上に、本文がなぜか
平文がリスト形式の箇条書きに書かれています。 では、このメールもプロパティーから見ていきましょう。 件名は
「[spam] 【重要】えきねっとアカウントの自動退会処理について」
以前にも同じ件名でエントリー書いているので「続」とさせていただきました。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。 差出人は
「JR <info@esrki-info.com>」
「えきねっと」さんには、れっきとした”eki-net.com”ってドメインをお持ちです。
それなのにこのような”esrki-info.com”なんて関連の無いドメインを使った
メールアドレスで大切なユーザーにメールを送るなんて絶対にあり得ません！
差出したのは「Xserver」のユーザーでは、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。 | Return-Path: 「info@esrki-info.com」 ”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。 | | Message-ID:「6b7cb7555731559f8f5cea3115716f3a@esrki-info.com」 ”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。 | | Received:「from mta0.esrki-info.com (unknown [121.50.44.16])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。 |
まずは、”esrki-info.com”について情報を取得してみます。 
”121.50.44.16”がこのドメインを割当てているIPアドレス。
”Received”に書かれているものと同じですからメールアドレスの偽装はありませんね。
「Registrant Name: Xserver Xserver Inc.」と書かれているので、この差出人は、「Xserver」さんの
ユーザーのようです。 ”Received”のIPアドレス”121.50.44.16”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。 
IPアドレスによる抽出の為かなりアバウトな位置であることをご承知いただいた上でご覧いただく都とし
ピンが立てられたのは、長野県長野市付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。
プロバイダー名は、「使えるネット」系の「JMF Investment & Technology PTY LTD」です。
電話番号も嘘ばっかりでは引き続き本文。 ●日頃より「えきねっと」をご利用いただきありがとうございます。
●当社は5月23日にシステムを更新する予定です。
●アカウントに長期間ログインしていないため、
●24時間以内にアカウントにログインして関連情報を更新してください。
●アカウント情報を更新しない場合は、アカウントを削除させていただきます。
●ご協力ありがとうございます。ログインはこちら※えきねっとトップページ右上のログインボタンよりログインしてください。 本メールにお心当たりのない方は、誠にご面倒ではございますが、下記電話番号まで
ご連絡いただきますよう、お願い申しあげます。
＜メンバーシップ・サービス・センター
0120-020635 （9：00~17：00／土日祝休）
海外もしくは携帯電話等からは、03-6628-9626まで。 |
平文をなぜリスト形式の箇条書きにしたのか理由が効きたいのは私だけではないはずです。
気になって仕方がありません…(;^_^A
このメールに心当たりがない場合に連絡しろと書かれている電話番号、本物かなと思い
調べてみると「0120-020635」は、長野市にある「プリマ・ベラ」と言うビューティーサロン。
なぜ「えきねっと」がビューティーサロンなのでしょうか？(笑)
明らかに偽装ですね。
そして「03-6628-9626」は、検索しても当たり前のように「えきねっと」では出てこなくて
特定はできませんでしたが、市外局番が「03」ですから東京都内と言うことになります。
…嘘ばっかりです。 このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「ログインはこちら」って書かれたところに張られていて、リンク先の
URLがこちらです。 
このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。 
このように既に危険サイトと認識されており、カテゴリは「フィッシング」と書かれています。 このURLで使われているドメインは、サブドメインを含め”www.ekri-info.top”
このドメインにまつわる情報を取得してみます。 
申請者は、中国遼寧省の漢字三文字の氏名の方。 
このドメインを割当てているIPアドレスは”172.245.88.166”
このIPアドレスを元にその割り当て地を確認してみます。 
ピンが立てられのは、ニューヨークのバッファロー付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。 危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。 
表示されたのは「えきねっと」のログイン画面。
もちろん詐欺サイトですから絶対にログインしないでください！
まとめこのメール、実はまだ続きがありまして…
まあ、この画像をご覧になってください。 
これ、先のメールをHTMLの表記からテキスト表記に切換えてみた画像です。
HTMLでは見えてなかった「的的的的」や「Sasa」フッターより下にはこのように書かれています。 | 大稻缘蝽 懒汉下地事多，懒驴上套屎多。 如今安在 锥面包络环面蜗杆 刘国宇liuguoyu 黯凝伫 高一级的伟大人物，因为证实伏尔泰更加深刻思想的是他所获 擒贼先擒王 reserved 王顺兴wangshunxing 备了发达程度不一的脑子，而脑子的功能就是这一种类动物赖 三回
下轿打轿夫不识抬举；恩将仇报；以怨报德 仍然和年轻的时候——甚至在孩提的时候——完全
一样。这一 我情妇的呼吸并没有这香味。 硬花甘蓝 说是种属）的意识行事；而她的父母则本着个体自
我的思想给 归来仿佛三更 百亩核心区 |
たぶんこれは中国語だろうと訳してみましたが、このように全く意味が分かりません。 | Dadaoyuanバグ怠惰な人々は多くのことをするために地面に行きます、そして怠惰なロバは彼らにたくさんのたわごとを持っています。 今ではトロイダルワームを包む円錐形になっていますLiuGuoyuliuguoyu ニンギュは、ヴォルテールがより深く考えたことが彼が勝ったものであったことを証明しているので、より高いレベルの素晴らしい人物です。 Wang Shunxing wangshunxingにはさまざまな発達の程度の脳があり、脳の機能はこのタイプの動物の機能です。
セダンの椅子を降りてセダンの持ち主を殴る方法がわからない;復讐で優しさを返済する;恨みで優しさを返済する
同じ。これ 私の愛人の息にはこの香りはありません。ブロッコリーは種であると言われました）;彼女の両親が
私の考えは、100エーカーのコアエリアである3シフトのように戻ってきています |
これらの記載は、「ワードサラダ」と呼ばれるもの。
なぜこのような意味不明な文字や文章が書かれているかと言うと、意味の無い文字や記号などを並べ
サーバーに設置された、迷惑メールを仕分けするスパムフィルターを混乱させて、迷惑メールなど
悪意のあるメールを受信者にそうとは気付かさせることなく届けようとする手法。
でも、この件名にはしっかりと”[spam]”と記載されていますので、うちのサーバーを突破することは
できなかったようです。(笑) いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 
