AuO2のブログ一覧

えーっとですね、またぞろ、フィッシング糞メールが着弾するようになりました。
というのも、前に最近来てないなあ、ということを書いた翌日に着弾しまして。
このブログを見てるのかよ、と思わずにはいられないような結果でした。(^^)
しかし、着弾した物を調べてみると、どうも様子がおかしい。

今回はAmazonネタとイオンカードネタから始まって三井住友カードかな。
ネタはまあ毎回似たようなものなんですが、問題は誘導先のフィッシング糞サイト。
なんとですね、誘導先のアドレスは存在するものの、ページの中身がない（ページのソースを表示しても何もない）とか、アドレスが無くなっていて、アクセスそのものが出来なくなっているとか。
なんなんだこれは、というような物があったわけです。

それだけでなくて、中国発信が多かった中、検閲キーワードを使いまくったのが効いたのかどうかは分かりませんが、なんと日本国内発信が久々に登場。
SAKURAインターネットでした。即座に通報しましたけどね。
国内発信だと通報されやすいのにねえ。

さらにですよ、パラメータＵＲＬの解読に成功しました。そんなたいしたものでもないけど。
それを使って早速反撃しましたけどね。(^^)
とりあえず、ネタばらしいきます。

以下のようなＵＲＬが誘導先として設定してあったわけです。
ttps://amacon.tokoyou.club/X44Op44Kk44Og5Lya6LK744Gu44GK5pSv5

注意。太字のアドレスは実際に送られてきたフィッシング糞サイトのＵＲＬですので、知識のない方はアクセスしないようにして下さい。

下線の部分ですが、これは実際のものではなくて、似たような文字列にしてあります。
というのは、実際の物を公開すると、解読されると私のメールアドレスなどがさらされる事になるので。(^^;

問題の下線の部分ですが、この手の手法は前からありまして、フィッシング糞メールを送信した相手が、誘導先のページにアクセスしてきたかを判別するために、何らかの方法で固有の番号とメールアドレスを対にして管理しているだろうというものですね。

で、あの下線の部分の大文字小文字のアルファベットと数字の羅列を見ていて、どこかで見たような感じの文字列だよなあ、と前から思ってました。
ふと思ったのが、電子メールで使われているMIMEエンコード。
添付ファイルとかでバイナリファイルをテキスト化するデータ変換ですね。
別にバイナリでなくてもいいんですけどね。

例えば、以下のような文字列があるとします。
44Kw44Os44Kk44K544OP44Kk44OW44Oq44OD44OJ

これだけだと、なんのこっちゃになるんですが、以下のサイトに行ってオンラインで元の文字列にデコードしてみましょう。
https://www.convertstring.com/ja/EncodeDecode/Base64Decode

すると、グレイスハイブリッドという文字列が出てきます。

これがわかったので、自分の所に来たパラメータを解析したら、管理番号のような物の後に自分のメールアドレスが出てきました。いやあ、びっくり。
まんま、メールアドレスが入っていたとは。
なお、このタイプのＵＲＬに関しては踏みに行ってません。自分が行ったとばれるからです。

さて、ここまで分かると逆に反撃したくなります。
というわけで、やってみました。
管理番号はアルファベット３文字に数字が６桁、さらに?が１文字あって、その後にメールアドレス。
以下のような感じになります。あくまでイメージですよ。
　kgb123456?メールアドレス
この管理番号を適当な物に書き換えて、メールアドレスもいい加減な物とか「天安門大虐殺」とかにしてMIMEエンコードします。
他には管理番号がアルファベット４文字＋数字４桁というサイトもありましたけどね。
出来上がった文字列をフィッシング糞サイトのパラメータ部分に割り当ててアクセスしてみると、なんとサイトに飛びました。(^^;
ちなみに、ここのパラメータはいい加減な文字列にすると駄目なんですよね。ちゃんとMIMEエンコードしたものでないと駄目なようで。
で、また、検閲キーワードでログインしまくり。
検閲キーワードとかでページに飛び、検閲キーワードでログインして、さらに、住所の入力で「中華人民共和国天安門大虐殺謝罪せよ１－２」みたいな住所を入力。(^^)
勿論、名前の入力は「習近平」で。

さて、反応は如何に。(^^)