この記事は ISL Advent Calendar 2020 14日目の記事です。
初Qiitaなので甘めに見てください。
目次
1.はじめに
2.届いたSMS
3.duckdnsとは
4.リンクを開く
5.webサービスを使って調査してみる
6.googleで検索
7.参考情報
8.おわりに
1. はじめに
先日遂に私にも宅配便業者を装った「不在通知」の偽SMSが来たので少し調査してみました。
2. 届いたSMS
こちらが届いたSMSです。
urlの末尾がduckdns[.]orgになっている事がわかります。
3. duckdnsとは
duckdnsのサイトによると
Duck DNS is a provider of what is known as a DDNS (Dynamic DNS) service
we provide a public DNS server that anyone can get a subdomain and use one of our provided scripts to update their record(s).
AWSでホストされている無料のダイナミックDNSサービスみたいです。
ダイナミックDNSは動的（ダイナミック）に割り当てられるIPアドレスが変更になった場合、新しいIPアドレスをDNSサーバに通知し、事前に登録した固定のホスト名（ドメイン名）につないでくれるサービスです。
グローバルの固定IPはコストが高くなってしまいますが、このサービスを使えばルーターに割り振られている動的IPでも固定IPのようにふるまう事ができます。
4. リンクを開く
googleによる警告が出てきました。
警告を無視してもそもそも接続できませんでした。
urlを検索してみるとNaomi Suzuki氏の以下のツイートが出てきました。
詐欺サイトはipアドレスやドメインを数時間単位で刻々と変えながら運用しているらしく、その遷移状況を発信しているようでした。
また、アクセス元がAndoroidかiphoneで挙動が異なるらしく、サイトが閉鎖する前はAndoroidの場合は偽のChromeアプリのapkを、iphoneは謎の空白のホップアップを表示する仕様だったみたいです。
5. webサービスを使って調査してみる
このまま終われないので12/13時点でアクティブであった「tjewrftldy[.]duckdns[.]org」,「xruxjiqzjt[.]duckdns[.]org」について調査しました。
まずはaguseを使ってみます。
aguseは調べたいサイトのurlを入力する事で自分の代わりにaguseがアクセスしてどのようなページが表示されるか、他にも関連情報を安全に調査する事ができます。
結果を見てみるとapkが表示され、どちらもipアドレスは74.91.18.108でした。
(本日アクセスし直すと表示されなくなっていたので別の画像を使っています。申し訳ありません..)
次にUrlscan.ioを使います。こちらもaguseと同じようにweb用のサンドボックスとして利用できるサービスになっています。
どちらもtffed.jsというjavascriptが返されている事が分かりました。
最後にWeb Insightを使います。こちらもwebサイトをスキャンしてくれるサイトですがタイムライン機能があり、ドメインの更新記録やファイルをアップロードしたファイルのタイムスタンプを表示してくれます。
どちらも2020/07/09にtffed.jsとよばれるjsがアップロードされている事が分かりました。
6. googleで検索
tffed.jsを完全一致検索するとweb insightとPastebinの2つの検索結果が出てきました。
投稿の中身はtffed.jsのコードで投稿者について調べてみると韓国のマルウェアの研究等を行っている方でした。
web insightでコードを表示してみるとコメントに中国語らしきものが書かれていました。
jsのデコードに関しては「クソ詐欺メールに引っかかってみた」というタイトルのQittaの記事が削除済みですがキャッシュから読むことができます。
7. 参考情報
- @v_avenger,すぐ貢献できる！偽サイトの探索から通報まで,https://qiita.com/v_avenger/items/2eeef2d69c85eb1570e8
フィッシングサイトを調査する上で役立つリソースの紹介やリンクが豊富にまとめてあります。
8. おわりに
今回アドベントカレンダーを書くにあたって昨日Qiitaのアカウントを作ったので「マークダウン？なにそれおいs」という感じでした。フィッシングサイトについて調査するのもOSINTっぽくて楽しいと思いました。フィッシング対策に一役買うとチャレンジコインなるものも頂けるかもしれないらしいです。
あと数分で日付が変わってしまうので終わりにしたいと思います。最後まで読んでいただきありがとうございました。