piyolog

piyokangoの備忘録です。セキュリティの出来事を中心にまとめています。このサイトはGoogle Analyticsを利用しています。

TwitterのスパムDM「ONLY FOR YOU」についてまとめてみた

SNS スパム

2019年7月6日土曜日頃から、Twitter上でダイレクトメッセージ機能を通じたスパム投稿が拡散されていると話題です。ここではこのスパムメッセージについてまとめます。

スパムが届いてから自分が送ってしまうまでの流れ

  1. Twitter DMでONLY FOR YOUというURL付きのメッセージが届く
  2. リンクをクリックしてスパムサイトへ誘導
  3. スパムサイトからスパムアプリ連携の許可確認へ遷移
  4. スパムアプリ連携後にフォロワーへ受け取ったものと同じDMを送信

誤ってリンクをクリックしてしまっても4つ目のアプリ連携を許可しなければ自分からDMを送ってしまうことはない。

スパムアプリ連携後に起きること

f:id:piyokango:20190709140613p:plain
アプリ連携後に確認した事象は以下のもの。

  • ダイレクトメッセージを送信する
  • 複数のアカウントをフォローする
  • 複数のアカウントからフォローされる
  • フォロワー販売サイトに自分のアカウントが掲載される

f:id:piyokango:20190709142731p:plain

スパムDMで届くURL

  • URLは複数のドメインのリダイレクトを経て、スパムサイトへ飛ばされる。
  • リダイレクトの流れを整理すると次の通り。

f:id:piyokango:20190710163201p:plain

  • 記載されるURLが長く、TwitterのDMではaccounts.youtube.comだけが表示されてしまう。

f:id:piyokango:20190709063321p:plain
（ダイレクトメッセージで届くスパム）

f:id:piyokango:20190709133101p:plain
（リンククリック後に表示されるフォロワー販売ページ）

Googleのリダイレクトを悪用
  • google.comからスパムサイト（www.getmorefollowers.biz）にリダイレクトしている。
  • スパムで用いられるURLではリダイレクトされる際、Google側の警告ページは表示されない。
  • 警告表示無くリダイレクトされるのはusgなどクエリに適当なパラメータが指定されているためとみられる。
  • この仕様を悪用した事例は数年前から報告されている。
  • 必要なパラメータは特定の手段を使って取得できることが知られている。

f:id:piyokango:20190709142003p:plain
（リダイレクト時に通常表示される警告ページ）

誘導されるスパムサイト・スパムアプリ

www.getmorefollowers.bizから5つのスパムサイトへ誘導されることを確認した。

www.bestfollowers.in
www.followplanet.us
www.freeaddme.us
www.freefollower.eu
www.forfollow.net

これらスパムサイトからは次のアプリ連携の許可画面へ飛ばされる。
スパムサイトから誘導されるスパムアプリは日々変化しており、記事公開時点からこれまでに確認できただけでも以下のものがある。

only for you. (foryou.com)
for you sweet friends (foryou.com)
star face . (foryou.com)
essa taco.（foryou.com）
erra asader.（foryou.com）
t.c.k.（foryou.com）
bassf co.（bassf.net）
ldsa.un（bassf.net）
bassf na.（osa.ca.org）
100 Hz ap.（osa.ca.org）
nef global（osa.ca.org）
idda madan.(effa.gov.cn)
nextstar services.(etna.co.uk)
fivestar services(etna.co.uk)
tera daranes.（ika.de）
reall basas.（ukara.com）
tazx nart.（utella.org）
gasad. laras.（tesar.org）
teras. mod.（teras.mode）
my favorite follwrs（utella.org）
Free Gain Followers. v1 (fda.org.us)
Free Gain Followers. v2 (fda.org.us)
Free Gain Followers. v3 (fda.org.us)
Free Gain Followers. v4 (fda.org.us)
Free Gain Followers. v5 (fda.org.us)
Free Gain Followers. v6.0 (fda.org.us)
Free Gain Followers. v7（freefllw.org）
Free Gain Followers. v8（freefllw.org）
Free Gain Followers. v9（freefllw.org）
NEW 5000 FOLLOWERS V32（new5000followers.us）
NEW 5000 FOLLOWERS V5.0（new5000followers.us）
NEW 5000 FOLLOWERS V7.02（new5000followers.us）
big brother.
create followers.
real followrs
bedsas.85
ferads. opuwa.
twit by twitter.
erdas. b
ila by neta
bassf co.
fade hassert.
free services by Twitter bve
App id 3/825080
app id 582508652
App ID 52184t5864
app id 05808
app 758208
app id j8520
app id 82528/2
app. id 685jjkl55
app. id 63535j
app id 325683r
service k8625825
service 8635,083
service 56bv36853
service 5686u639

更新履歴

  • 2019年7月9日 PM 新規作成
  • 2019年7月10日 PM 画像に誤植があったため修正（誘導されるyoutube.comのURLが一部誤っていました。）
  • 2019年7月10日 PM スパムアプリを追加
  • 2019年7月11日 PM スパムアプリを追加
  • 2019年7月12日 PM スパムアプリを追加