不在通知の偽SMSについて

この記事は [ISL Advent Calendar 2020](https://adventar.org/calendars/5538) 14日目の記事です。
初Qiitaなので甘めに見てください。

#目次
[1.はじめに](#1-はじめに)
[2.届いたSMS](#2-届いたSMS)
[3.duckdnsとは](#3-duckdnsとは)
[4.リンクを開く](#4-リンクを開く)
[5.webサービスを使って調査してみる](#5-webサービスを使って調査してみる)
[6.googleで検索](#6-googleで検索)
[7.参考情報](#7-参考情報)
[8.おわりに](#8-おわりに)

#1. はじめに
　先日遂に私にも宅配便業者を装った「不在通知」の偽SMSが来たので少し調査してみました。
#2. 届いたSMS
　こちらが届いたSMSです。
<img width="400" alt="EpMkxb3VEAs1vaj.jpg" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/951360/63d1ced4-b8ca-5987-25ec-59e303c71b01.jpeg">
　urlの末尾がduckdns[.]orgになっている事がわかります。

#3. duckdnsとは

[duckdns](https://www.duckdns.org/why.jsp)のサイトによると

>Duck DNS is a provider of what is known as a DDNS (Dynamic DNS) service
>we provide a public DNS server that anyone can get a subdomain and use one of our provided scripts to update their record(s).

AWSでホストされている無料のダイナミックDNSサービスみたいです。

　ダイナミックDNSは動的（ダイナミック）に割り当てられるIPアドレスが変更になった場合、新しいIPアドレスをDNSサーバに通知し、事前に登録した固定のホスト名（ドメイン名）につないでくれるサービスです。
　グローバルの固定IPはコストが高くなってしまいますが、このサービスを使えばルーターに割り振られている動的IPでも固定IPのようにふるまう事ができます。

#4. リンクを開く
 googleによる警告が出てきました。
 警告を無視してもそもそも接続できませんでした。
<img width="600" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/951360/7e7adb4d-ce18-87c7-57ee-9d9ced5f69cb.png">

　urlを検索してみると[Naomi Suzuki](https://twitter.com/NaomiSuzuki_?s=20)氏の以下のツイートが出てきました。

<img width="300" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/951360/512509b5-ea18-fb9f-9b8c-1a28fc9beff7.png">

詐欺サイトはipアドレスやドメインを数時間単位で刻々と変えながら運用しているらしく、その遷移状況を発信しているようでした。
また、アクセス元がAndoroidかiphoneで挙動が異なるらしく、サイトが閉鎖する前はAndoroidの場合は偽のChromeアプリのapkを、iphoneは謎の空白のホップアップを表示する仕様だったみたいです。



#5. webサービスを使って調査してみる
　このまま終われないので12/13時点でアクティブであった「tjewrftldy[.]duckdns[.]org」,「xruxjiqzjt[.]duckdns[.]org」について調査しました。

　まずは[aguse](https://www.aguse.jp/)を使ってみます。
　aguseは調べたいサイトのurlを入力する事で自分の代わりにaguseがアクセスしてどのようなページが表示されるか、他にも関連情報を安全に調査する事ができます。
<img width="500" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/951360/83a4132b-37f5-f95a-c472-237c60998062.png">
　結果を見てみるとapkが表示され、どちらもipアドレスは74.91.18.108でした。
(本日アクセスし直すと表示されなくなっていたので別の画像を使っています。申し訳ありません..)



次に[Urlscan.io](https://urlscan.io/)を使います。こちらもaguseと同じようにweb用のサンドボックスとして利用できるサービスになっています。
<img width="500" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/951360/0102e932-c78e-f0bc-fad7-98465b507e21.png">
どちらもtffed.jsというjavascriptが返されている事が分かりました。

最後に[Web Insight](https://webint.io/)を使います。こちらもwebサイトをスキャンしてくれるサイトですがタイムライン機能があり、ドメインの更新記録やファイルをアップロードしたファイルのタイムスタンプを表示してくれます。
<img width="600" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/951360/eacabaef-87ff-7536-a7ff-44cecb1614f0.png">
どちらも2020/07/09にtffed.jsとよばれるjsがアップロードされている事が分かりました。

#6. googleで検索
　tffed.jsを完全一致検索するとweb insightとPastebinの2つの検索結果が出てきました。
<img width="600" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/951360/610c40f7-9a17-4da8-9e0d-28ca5ea53808.png">
　投稿の中身はtffed.jsのコードで投稿者について調べてみると韓国のマルウェアの研究等を行っている方でした。

web insightでコードを表示してみるとコメントに中国語らしきものが書かれていました。
<img width="600" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/951360/614cf814-55a4-3dfc-f930-301ad8755468.png">

~~jsのデコードに関しては「クソ詐欺メールに引っかかってみた」というタイトルのQittaの記事が削除済みですがキャッシュから読むことができます。~~

#7. 参考情報
- [@v_avenger](https://qiita.com/v_avenger),すぐ貢献できる！偽サイトの探索から通報まで,https://qiita.com/v_avenger/items/2eeef2d69c85eb1570e8

 フィッシングサイトを調査する上で役立つリソースの紹介やリンクが豊富にまとめてあります。

#8. おわりに
　今回アドベントカレンダーを書くにあたって昨日Qiitaのアカウントを作ったので「マークダウン？なにそれおいs」という感じでした。フィッシングサイトについて調査するのもOSINTっぽくて楽しいと思いました。フィッシング対策に一役買うとチャレンジコインなるものも頂けるかもしれないらしいです。
　あと数分で日付が変わってしまうので終わりにしたいと思います。最後まで読んでいただきありがとうございました。