2018/04/27 『【楽天市場】注文内容ご確認（自動配信メール）』の調査

4日連続で同一の不審メールのばらまきがありました。
しかし、この日はメール中のリンクをクリックしてもコンテンツが準備されておらず、実害の出るものではありませんでした。

■日時
2018/04/27(金)　8:00 - 10:20 頃
過去最早の時間帯での送信ですが、件数は少数で、同一件名で過去最大規模だった前日4/26(木)の1/20程度、4/24(火)の1/4程度です。

※以下、件名、送信者、本文は4/19(木),4/20(金),4/24(火)-4/26(木)のものと同様です。

■件名
【楽天市場】注文内容ご確認（自動配信メール）

■送信者
order[@]rakuten[.]co.jp

■本文

※お店の名前や注文番号は複数種類あり

■メール内リンク誘導先
hxxp://an.zippi-pets[.]com/
hxxp://aw.dartzoneblasters[.]com/
hxxp://fm.dd-mc[.]com/
hxxp://ml.zippi-pets[.]com/
hxxp://pw.hurricanewaterballs[.]com/
これらのドメインは全てIPが176.223.165[.]111に作成されています。このIPは4/19(木),20(金),24(火)でも使用されていたIPになります。
https://www.virustotal.com/#/ip-address/176.223.165.111

アクセスしてもページには以下のように表示されるのみで、マルウェアがダウンロードされることはありませんでした。

今回の不審メールの送信の意図は不明です。

■IoC

○URL
hxxp://an.zippi-pets[.]com/
hxxp://aw.dartzoneblasters[.]com/
hxxp://fm.dd-mc[.]com/
hxxp://ml.zippi-pets[.]com/
hxxp://pw.hurricanewaterballs[.]com/

○IP
176.223.165[.]111