memo : Xの投稿から投資詐欺サイトへの誘導キャンペーン

最近投資詐欺サイトへ誘導するXの投稿が確認されているので、気になることを少しまとめてみた。

urlscanのサンプル

某新聞を騙った投資詐欺サイトへ誘導するものになっている。

Xのアカウントについて

投稿を拡散しているXのアカウントをいくつか見てみたが、直近でアカウントを作成したというわけではなさそう。

また、過去の投稿内容を見てみると、はるか昔に何かしらの投稿がされている形跡があった。

ダークウェブなどの地下市場にSNSアカウントを販売している業者がおり、そこには使われずに放置されているSNSアカウントなどを乗っ取って販売していたりするので、そういうところから購入してキャンペーンをしていると思われれる。

画像はChatGPTで生成？

投資詐欺サイトには、リアルに見える画像が使われているが、これらは作られたものなので実際には存在しない。
ある投資詐欺サイトを見てみると、「1779044036.ChatGPT_Image_17_____2026__.__21_53_45.png」という名前の画像が読み込まれていることがわかる。

攻撃者も生成AIを使っていることがわかる。
この名前の画像がない投資詐欺サイトもあるので、ファイル名をリネームし忘れたオペレーションミスなのかもしれない。

特徴的なコメント

投資詐欺サイトのソースコードを見てみると、ロシア語らしき言語で書かれたコメントをいくつか確認できる。

この投資詐欺サイトを作成した人は、その言語圏の人だろうと推測できる。(ただし、最近のサイバー犯罪は分業化が進んでいるため、実際にオペレーションしている人も同じとは限らない)

/landers/api/integration/back.js

投資詐欺サイトが表示される時に、「/landers/api/integration/back.js」というJavaScriptファイルが読み込まれる。

中身を見てみると、ブラウザの戻るボタンを乗っ取って、特定のページを表示させるための処理が書かれている。(バックボタンハイジャックと呼ばれるものである)

履歴スタックの積み上げ

if (!isIos()) {
  checkUserGesture(function () {
    pushState();
    createFrame(frameName, backLink);
  });
} else {
  pushState();
  createFrame(frameName, backLink);
}

function pushState() {
  for (var t = 0; t < 3; t++) {
    let s = { cpa: t };
    window.history.pushState(s, "", window.location);
  }
}

戻るボタン検知

function backInFrame() {
  if (!isIos()) {
    trace("Not IOs, cheching gesture!");
    checkUserGesture(function () {
      pushState();
      trace("Pushed state after gesture.");
      createFrame(frameName, backLink);
    });
  } else {
    trace("IOs found!");
    pushState();
    trace("Pushed state.");
    createFrame(frameName, backLink);
  }
  window.onpopstate = function (t) {
    trace(`Popped state!`);
    t.preventDefault();
    if (!isIos() && !!!t.state) {
      trace("OnPopState: Not IOs and no state!");
      return;
    }
    trace(`Popped state: ${JSON.stringify(t.state)}`);
    switch (t.state.cpa) {
      case 1:
        trace("Time to show landing!");
        if (redirect) {
          window.location.href = backLink;
        } else {
          showFrame(frameName);
          createFrame(showcaseFrameName, showcaseLink);
        }
        break;
      case 0:
        trace("Time to show showcase!");
        showFrame(showcaseFrameName);
        break;
      default:
        break;
    }
  };
}

ちなみに、このファイルで検索すると、他の投資詐欺サイトもヒットするので、ちょっとしたハンティングにも活用できる。