2019年11月6日、気象庁は報道発表を装った不審メールが確認されたとして注意を呼び掛けています。ここでは関連する情報をまとめます。
気象庁の発表
2019年11月6日 [PDF] 気象庁の報道発表を装った迷惑メールにご注意下さい
- 気象庁の報道発表を装った内容で迷惑メールが届いたという情報提供が最近あった。*1
- メール文中には偽のアプリのダウンロードを促す記述がある。
- このメールを通じて金銭的被害が生じた場合は最寄りの警察署に被害届を出してほしい。
スパムメールからマルウエア感染の流れ
- スパムメールからマルウエアに感染するまでの流れは次の通り。（一部推測（？）の箇所を含む）
- スパム送信元、URL記載先、不審ファイル設置先といずれも複数の組織のサーバーが不正アクセスを受けるなどして侵害されていた恐れがある。
報道発表を装った不審メール
気象庁やTwitterに上がっている投稿*2 *3 *4によれば次のメールが届いている模様。（電話番号は一部マスキングしています）
| 件名 | 案内・申請 |
|---|---|
| 送信元アドレス・差出人名 | 気象庁 （tanaka@js-corp.net） |
| 本文 | 地震、津波の早期警告を受け取りたいし、安全になりますか? 緊急地震速報」とは？ 地震による強い揺れに備えて、身を守るための警報です ゆれくるコールの緊急地震速報は、「予測地点」に「通知震度」に達する地震が発生する場合に通知します。 気象庁は、津波と地震の早期警報モバイルアプリケーションを開発しました。地震活動の開始後、数秒以内に携帯電話またはパソコンに通知と音声信号が自動的に届きます。 （イメージ図を差し込み） 携帯電話またはPCで「地震早期警告」を受信するには、公式のJMAウェブサイトからアプリケーションをインストールする必要があります。 Windows アプリ ＜偽アプリをDLさせると思わしきリンク＞ ITを活用して社会の安心に貢献する防災システム等の開発に取り組んでいる。自然災害をくい止めることはできません。しかし、みんなで力を合わせることで被害をできるだけ小さくすることは可能です。そのために、自分でできること、家族でできること、身近にいる人と力を合わせてできることを考えてみましょう。 問合せ先：気象庁 〒100-8122東京都千代田区大手町1-3-4 電話 03-3212-XXXX(内線 4524) FAX 03-3212-XXXX |
- 不審メールは2019年11月6日に届いたとする投稿のみ確認。時間は朝から夕方までとバラバラ。
- 送信元アドレスに使われているドメイン
js-corp.netは水産加工品などを小売りしている企業で使用されているドメイン。Twitterに投稿された画像を見る限り、FROMアドレスの詐称を行われているわけではなく、実際に不審メール送信の踏み台にされている可能性がある。 - 電話番号はWebサイト上では掲示されていないのか、Googleの検索などでかかることはなかった。気象庁の代表電話番号は03-3212-8341。
本文は切り貼りで作成？
メールの本文や画像は複数のWebサイトの文言を切り貼りしたように見える。
URL記載先のサイト
気象庁の。
— watoly (@wato_dn) November 7, 2019
リダイレクト先・・ pic.twitter.com/DuxINBqKAx
- メール文中に記載されたドメイン
everfree-inc.jpはWeb制作などを行う企業のWebサイトのもの。 jma.phpというPHPファイルが設置されているため、このサイトも侵害されている可能性がある。- クエリストリングにBASE64でエンコードされたらしき文字列が付帯しており、ユニークなものが付帯されているように見受けられる。
- jma.phpにアクセスするとスクリプトファイルが動作したようなロシア語表記の画面が表示される。
- 何も指定してない場合は「Unknown request type」、クエリストリングに適当な文字列を渡すと「Unable to decode URL !」と表示された。
- 処理が進むクエリストリングを渡すとJP共済生協のサイト
www.postlife.or.jpにリダイレクトされる。 - JP共済生協のサイトに接続するとISOファイル「JMA_Weather_Apps.iso」が落ちてkita。
- JMA_Weather_Apps.isoの中にはJMA_Weather_Apps.exeが含まれており、これを実行すると
everfree-inc.jpに接続するとみられる。 everfree-inc.jpからjma.exeをダウンロード。実行されていればさらにhockeysministries.orgに接続する。
インディケーター情報
| メール本文記載のURL | everfree-inc[.]jp/css/jma.php |
|---|---|
| メール送信元 | tanaka@js-corp[.]net |
| 不審ファイルのハッシュ値 | JMA_Weather_Apps.iso d04ccdf1c0247b5f474bb030fbff2af3a0da51e285734f48b1fb681c01d547c6 JMA_Weather_Apps.exe 9d204eddaebd3d8624349b9492a3f3c8cc5a524e848419bb039d739b4d152292 jma.exe cdc13684f41107a2ff3c367f50d64af2c71f2f004775d0307deb5ee6980a5965 |
| 不審ファイルの接続先URL | www.postlife[.]or[.]jp/www.jma[.]go[.]jp/applications/ everfree-inc[.]jp/css/jam.exe hockeysministries[.]org/playoff/chmpion4378/hockey.php |
更新履歴
- 2019年11月7日 AM 新規作成
- 2019年11月8日 PM URL等の情報が確認できたため、検体等の情報を追記
