『詐欺メール』続「【重要】えきねっとアカウントの自動退会処理について」と、来た件

毎日届く「えきねっと」

週明け月曜日は、大量のフィッシング詐欺メールで大わらわ…(-_-;)
既出なものと既出でないものの仕分けから始まります。
で、今週最初にご紹介するのはこちらのメール。
最近大量に流れている「えきねっと」に成りすましたフィッシング詐欺メールです。

書かれているのは、期限以内にログインしないとアカウントが削除されると言った内容。
この件名のメールは、今までに数回ご紹介しています。
最初にご紹介したのは、今年の2月22日。
その時のエントリー内容はこちらです。

『詐欺メール』「えきねっとアカウントの自動退会処理について 」と、来た件

これは騙されそう... ※ご注意ください！ 当エントリーは迷惑メールの注意喚起を目的とし、悪意を持ったメールを発見次第 できる限り迅速にをもっとうにご紹介しています。 このようなメールを受け取っても絶対に本文中のリンクをクリックしてはいけま...

ymg.nagoya

この時は、2年以上ログインの無いアカウントは削除されるので期限以内にリンクから
ログインしろと普通に書かれていました。
でも今回は、ログインしていない期間が2年ではなく長時に変更された上に、本文がなぜか
平文がリスト形式の箇条書きに書かれています。

では、このメールもプロパティーから見ていきましょう。

件名は
「[spam] 【重要】えきねっとアカウントの自動退会処理について」
以前にも同じ件名でエントリー書いているので「続」とさせていただきました。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「JR <info@esrki-info.com>」
「えきねっと」さんには、れっきとした”eki-net.com”ってドメインをお持ちです。
それなのにこのような”esrki-info.com”なんて関連の無いドメインを使った
メールアドレスで大切なユーザーにメールを送るなんて絶対にあり得ません！

差出したのは「Xserver」のユーザー

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

まずは、”esrki-info.com”について情報を取得してみます。

”121.50.44.16”がこのドメインを割当てているIPアドレス。
”Received”に書かれているものと同じですからメールアドレスの偽装はありませんね。
「Registrant Name: Xserver Xserver Inc.」と書かれているので、この差出人は、「Xserver」さんの
ユーザーのようです。

”Received”のIPアドレス”121.50.44.16”は、差出人が利用しているメールサーバーのもの。
このIPアドレスを元にその割り当て地を確認してみます。

IPアドレスによる抽出の為かなりアバウトな位置であることをご承知いただいた上でご覧いただく都とし
ピンが立てられたのは、長野県長野市付近です。
このメールは、この付近に設置されたメールサーバーを介して私に届けられたようです。
プロバイダー名は、「使えるネット」系の「JMF Investment & Technology PTY LTD」です。

電話番号も嘘ばっかり

では引き続き本文。

平文をなぜリスト形式の箇条書きにしたのか理由が効きたいのは私だけではないはずです。
気になって仕方がありません…(;^_^A
このメールに心当たりがない場合に連絡しろと書かれている電話番号、本物かなと思い
調べてみると「0120-020635」は、長野市にある「プリマ・ベラ」と言うビューティーサロン。
なぜ「えきねっと」がビューティーサロンなのでしょうか？(笑)
明らかに偽装ですね。
そして「03-6628-9626」は、検索しても当たり前のように「えきねっと」では出てこなくて
特定はできませんでしたが、市外局番が「03」ですから東京都内と言うことになります。
…嘘ばっかりです。

このメールは、フィッシング詐欺メールなので詐欺サイトへのリンクが付けられています。
そのリンクは「ログインはこちら」って書かれたところに張られていて、リンク先の
URLがこちらです。

このサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認してみます。

このように既に危険サイトと認識されており、カテゴリは「フィッシング」と書かれています。

このURLで使われているドメインは、サブドメインを含め”www.ekri-info.top”
このドメインにまつわる情報を取得してみます。

申請者は、中国遼寧省の漢字三文字の氏名の方。

このドメインを割当てているIPアドレスは”172.245.88.166”
このIPアドレスを元にその割り当て地を確認してみます。

ピンが立てられのは、ニューヨークのバッファロー付近。
この辺りに設置されたウェブサーバーに、リンク先の詐欺サイトは構築されているようです。

危険と言われると見に行きたくなるのが人情と言うもの。
安全な方法でリンク先の詐欺サイトに調査目的で訪れてみました。

表示されたのは「えきねっと」のログイン画面。
もちろん詐欺サイトですから絶対にログインしないでください！

まとめ

このメール、実はまだ続きがありまして…
まあ、この画像をご覧になってください。

これ、先のメールをHTMLの表記からテキスト表記に切換えてみた画像です。
HTMLでは見えてなかった「的的的的」や「Sasa」フッターより下にはこのように書かれています。

たぶんこれは中国語だろうと訳してみましたが、このように全く意味が分かりません。

これらの記載は、「ワードサラダ」と呼ばれるもの。
なぜこのような意味不明な文字や文章が書かれているかと言うと、意味の無い文字や記号などを並べ
サーバーに設置された、迷惑メールを仕分けするスパムフィルターを混乱させて、迷惑メールなど
悪意のあるメールを受信者にそうとは気付かさせることなく届けようとする手法。
でも、この件名にはしっかりと”[spam]”と記載されていますので、うちのサーバーを突破することは
できなかったようです。(笑)

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;