ぬけぬけと中国のドメインメールで 週末に届いた詐欺メールが山のように溜まって、週明けの月曜の朝は仕分けで大わらわ(-_-;)
そんな中、今日もこんな気になるメールがありましたのでご紹介しておこうと思います。
 これは、メルカリに成りすまし「メルカリメガフェス」などと言うありもしないキャンペーンの一環で
新規登録者を紹介するとポイントが貰えるなどと言いメール受信者を詐欺サイトに誘い込もうとする
フィッシング詐欺メールです。 では、メールのプロパティーから見ていきましょう。 件名は
「[spam] 【メルカリ】お買い物で使える3000円分ポイントがもらえる！」
このメールには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。 差出人は
「メルカリ <no-reply2@0e2uhz.cn>」
ウソウソ、なんでメルカリが”0e2uhz.cn”なの？
メルカリさんのメールドメインは”mercari.com”ですよ。
よくもぬけぬけとこのような中国のトップレベルを使ってメールを送るものです。
まっ、このメールアドレスも本当かどうか…
差出人は”vultr”のユーザー？！ では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。 | Return-Path: 「<no-reply2@0e2uhz.cn>」 ”Return-Path”は、このメールが何らかの障害で不達に終わった際に返信される
メールアドレスです。
一般的には、差出人と同じメールアドレスが記載されますが、ここは誰でも簡単に
偽装可能なフィールドなのであてにできません。 | | Message-ID:「<0089122923a8$10d5effe$d317f530$@uotw>」 ”Message-ID”は、そのメールに与えられた固有の識別因子。
このIDは世の中に1つしかありません。
”@”以降は、メールアドレスと同じドメインか若しくはデバイス名が入ります。
ここも偽装可能で鵜呑みにはできません。 | | Received:「from uotw (unknown [108.61.201.110])」 ”Received”は、このメールが通過してきた各受送信サーバーが自身で刻む
自局のホスト情報です。
ここに掲げた”Received”はこのメールが最初に通過したサーバーのもの。
すなわち、差出人が使った送信サーバーの自局情報。
記載されている末尾の数字は、そのサーバーのIPアドレスになります。 | では、この”Received”にあったIPアドレス”108.61.201.110”にはどのようなドメインが
割当てられているのかを確認し、差出人のメールアドレスが本当かどうか確かめてみます。
こんな結果が出ました。
このIPアドレスに割当てているドメインは”vultr.com”
そしてその持ち主は、日本のも拠点があるアメリカのフロリダ州にあるインターネット
ベンチャー企業。
きっとこの企業にドメインの管理をお願いしているのでしょう。 IPアドレス”108.61.201.110”の割り当て地を調べてみると。
その地は国内で、東京都大田区東海付近が表示されました。 
ウソにウソを更に重ねる犯人 では本文。
ボーナスポイントの付与を餌にしたフィッシング詐欺メール。
これを餌にしてリンクを押させるのがこのメールの最大の目的。
そのリンク先は、メールに直書きされたこちらのURL。
でもこのURLに使われているドメインはメルカリのドメイン”mercari.com”となっています。
そんな馬鹿なと思い、このリンクにカーソルを合わせてみると全然違うこのようなドメインが
ポップアップで表示されました。
 全然違うじゃん！
いやいや、まだわからないですよ、この手のリンクはリダイレクトって手法でこのURLから
更に別サイトに飛ばされる可能性もありますから。
そんなことを想定しながら接続してみると…ほらね。
 これは、接続した際にウイルスバスターが反応し遮断したメッセージ。
ここには、また先程異なるこのようなURLが表示されています。
 このサイトが、実際の詐欺サイト。
このサイトの危険度をトレンドマイクロの「サイトセーフティーセンター」で確認すると
当然ですが、このような評価がされていました。
 このURLに含まれるドメインは、サブドメインを含め”info.360niubi-871.cn”です。
今度は、このドメインについて調査を行います。
 登録には、Microsoft社が提供しているフリーメールのhotmailが使われています。
そして持ち主は、日本人では到底考えられない変った漢字3文字の氏名の方。
このドメインを割当てているIPアドレスは”155.94.138.133”とされています。
このIPアドレスを元にその割り当て地を確認してみます。
 表示されたのは詐欺サイトのメッカ、ロサンゼルス付近の地図。
ここではこのようなメルカリの偽サイトが展開されていました。 
まとめ メルカリを騙るフィッシング詐欺メールは、ほぼ毎日のように届きますが、いつもは
第三者不正利用を疑った赤いリンクボタンの付いたものが多いのですが、まれに
このようなボーナスポイントを装ったものも到着します。
「甘い蜜には何とやら」ですからお気を付けください。 いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^; | 