『詐欺メール』「重要なお知らせシステム停止の重要情報(ＥＴＣ利用照会サービス)」と、来た件

数字もアルファベットも全角

「ETC利用照会サービス」を騙ったフィッシング詐欺メールも多いものです。
今朝は、そのETC利用照会サービスに成りすましたちょっと不可解なメールをご紹介
しようと思います。
そのメールがこちら。

数字もアルファベットも全角で書かれていますよね。
これ、フィッシング詐欺メールの特徴です。

まずは、メールのプロパティーから見ていきます。

件名は
「[spam] 重要なお知らせシステム停止の重要情報(ＥＴＣ利用照会サービス)」
「重要」が2つ使われたどことなく日本語のおかしな気がしませんか？
それに”ETC”とアルファベットが全角なのは、フィッシング詐欺メールの1つの特徴です。
この件名には”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに「迷惑メール」フォルダーに勝手に保存されるような仕組みもあります。

差出人は
「etc-meisai.jp <ml.etc-meisai.jp-info@xkihxym.cn>」
ETC利用照会サービスさんの正規ドメインは”etc-meisai.jp”で間違っても”xkihxym.cn”
ではありません。
悪意のあるメールかどうかの判断は、まず差出の名前に惑わされずアドレスのドメインに
目を付けてください。

2つ以上のドメインが割当てられているIP

では、このメールのヘッダーソースを確認し調査してみます。
ソースから抜き出した「フィールド御三家」がこちらです。

まず差出人のメールアドレスにあるドメイン”xkihxym.cn”について調べてみました。

割当てているIPアドレスは”117.50.179.73”のようです。

それと、ちょっと気になるんですが”Received”には”ae0am8.shop”なんてドメインも
見えています。
このドメインについても調べてみました。

このドメインも割当てているIPアドレスは”117.50.179.73”で”xkihxym.cn”と同じですね。
と言うことは、このIPアドレスには2つ以上のドメインが割当てられていることになり
複数のドメインを使い分けて詐欺をはたらいているのかもしれませんね。

では、この”117.50.179.73”ってIPアドレスを使ってそのサーバーの情報を拾ってみます。

表示されたのは北京にある天安門広場の東側辺りの地図。
このIPアドレスは、危険な物として知られているようで脅威のレベルは「高」とされ
攻撃の対象は「Web」と「SSH」と書かれています。
どうやらこのメールは、この付近に設置されたメールサーバーを使って送られたようです。

詐欺メールに矛盾など関係無い

いよいよ本文。

本文はこのように書かれています。

このメールは、4月1日のサービス停止予告通知だと思いますが、「引き続きサービスをご利用
いただきたい場合は、下記リンクより詳細をご確認ください。」と書かれています。
サービス停止予告通知なのに「引き続きサービスをご利用いただきたい場合」ってのは
なんか内容に矛盾があると思うのですが…

ま、詐欺メールに矛盾など関係無いのです。
だってこのメールの目的は、その下「→ご変更はこちらから」って部分に付けられたリンクを
押させることなのですから。
で、そのリンク先のURLがこちらです。

まずはこのサイトの危険性をトレンドマイクロの「サイトセーフティーセンター」で確認
してみます。

やはり既に危険なサイトと認識されており、そのカテゴリも詐欺サイトとされています。

このURLに使われているドメインは、サブドメインを含めて”www.etc-meilasi.cadhpng.cn”
このドメインインついても情報を取得してみます。

またもや読めない漢字の氏名の方です。

割当てているIPアドレスは”155.94.169.42”。
このIPアドレスの割り当て地を調べてみます。

表示された地図は、詐欺サイト密集地域のロサンゼルス付近。
やはりこのIPアドレスも脅威のレベルは「高」でカテゴリは「Webによるサイバーアタック」と
されています。

まとめ

リンク先に接続してみましたが、サイトにはつながりませんでした。

目的を達成したのか、それとも当局に嗅ぎつかれて閉鎖したのか。
いぞれにしても、IPアドレスにドメインが割当てられているということは、いつでも再開
できる状態ですから油断は禁物。
ETC利用照会サービスを騙ったフィッシング詐欺メールは、一旦落ち着いたと思いましたが
またここにきて息を吹き返した感があります。
皆様、くれぐれもご注意ください。

いつものことながら、誤字・脱字・意味不明がありましたらお許しください(^-^;