手札のないカードショップ

死してなお、自らを肥大させ、自らを救い出す事ができるか？

Discordからsteamのフィッシングサイトに誘導するやつ

これは何

Discordで知人がスパムに中っていたので気になって調べました。脅威インテリジェンス未満・技術記事未満のものです。

一見怪しくないように見える罠なので気になって調べました。

1 ファーストコンタクト

夜中、以下の画像のようなコメントがDiscordの個人チャットに投稿されました。

スパムはこのように投稿される
見ると、なんと50ドル分のsteamギフトが貰えそうな投稿が！

「おいおいそんな美味しい話あるはずないだろう」と疑いつつurlを確認すると、正規のSteamのアドレスが貼られています。

怪しい。

このコメントをコピーして別の投稿フォームに貼り付けると以下のように展開されました。

DiscordはMD記法に対応しているため、URLを偽装することができる

リンクテキスト部分に、偽装したいURLを貼り、リンク先にフィッシングサイトのURLを貼っているようです。

コピペしなくても、リンク部分を長押しするとその実体が表示される仕様にDiscordはなっているので、違和感を覚えたメッセージのリンクは長押しするのが、騙されないための簡単な対策だと思います。

2 公開情報調査

次に、公開情報を調べます。

長押しするとメッセージに紐づけられたリンクが見える

この短縮URLを展開すると以下のリンクとなります。

hxxps://staemcomunnuity[.]com/gift-card/XXXXXX

明かなtyposquatting。みんな大好きVTでドメインを調べます。

www.virustotal.com

VT>0

真っ黒かつ、若いドメインであることもわかります。

X.comで検索すると、海外のフィッシングサイト監視コミュニティの方が情報をあげていました。

urlscan.ioに公開情報が上がっているようです。

staemcomunnuity.com - urlscan.io

ファイルが多いのですが、HTMLとして核になっていそうな"724b7a5179525~"に目星をつけて覗いてみましょう。

キリル文字でコメントが残されている
英語のコメントも残っている

HTMLのコメントを4件見つけました。 ロシア語圏の人間の犯行だと決めつけるのは早計ですが、ロシア語圏にバックボーンを持つ関係者がいそうです。 ちなみに、英語のコメントでググったところ、以下のHybrid Analysisがヒットしました。

staemcomunnuity[.]com以外にもフィッシングサイトを展開していそうです。同一犯か同一グループなのでしょうか。

他トラフィックを覗いてみると、難読化されたjsだったりslickを利用している様子だったりが見えます。

0 まとめ

Discordのリンクに気を付けよう。

(被害にあった知人ですが、スパム的な投稿以外に実害はなかったそうです、良かった)

「ユーダン」脅威グループのオープンディレクトリの内部を読む

DFIR Report

Inside the Open Directory of the “You Dun” Threat Group – The DFIR Report の脅威インテリ記事を読むだけの記事です。

注記：この記事はハッキング行為を推奨したものではありません。

DFIR Reportの脅威インテリジェンス チームが、2024 年 1 月にオープン ディレクトリを検出し、その取引手法と脅威アクタの活動を分析したもの。webアプリケーションの脆弱性を突かれてファイルをアップロードされて、ランサムウェアの感染につながった。

利用ツール

  • WebLogicScan
  • Vulmap
  • Xray
  • SQLmap
  • Cobalt Strike
  • Viper framework
  • traitor

脆弱性

  • CVE-2021-25003
  • CVE-2019-25003
    • Scalar::check_overflowのサイドチャネルタイミング攻撃
  • CVE-2022-0847
  • CVE-2021-4034
  • CVE-2021-3560

Technique

  • Application Layer Protocol - T1071
  • Data Encrypted for Impact - T1486
  • Exploitation for Privilege Escalation - T1068
  • Exploit Public-Facing Application - T1190
  • Ingress Tool Transfer - T1105
  • Vulnerability Scanning - T1595.002
  • Web Protocols - T1071.001
  • Wordlist Scanning - T1595.003

内容

偵察

スクリプトでWebLogicScanの脆弱性を偵察。

https://github.com/rabbitmask/WeblogicScan

https://github.com/zhzyker/vulmap

vulmap:

fオプション->ターゲットリストファイルを選択

aオプション->対象アプリケーションを選択

tオプション->実行スレッド数を選択

Webサイトに対するより広範な脆弱性をスキャン。URLパスのスキャンも実施。

https://github.com/chaitin/xray/tree/master

https://github.com/maurosoria/dirsearch

初期アクセス

SQLmapを利用したSQLiでサイトを侵害。

https://github.com/sqlmapproject/sqlmap

seeyon_expでログインバイパスするためのJSPXをアップロードする。(Zhiyuan OAという中国のソフトウェア会社が開発したOA支援ソフトらしい)

https://github.com/Summer177/seeyon_exp

C2

Cobalt Strike。他スクリプトやモジュールは以下。

権限昇格
インパクト
  • LockBit Black

メモ

スレッドインテリジェンスチームが、Opendirなサイトを見つけてアクターの分析を行なったもの。調査の際、sshフィンガープリントをCensysで検索を掛けるのは勉強になった。中国語を話す脅威アクタとのことだが、中国国内も攻撃対象としているので政府系ではなく純粋にそういうビジネスをしている人々なのだろう。

大岡山の飯情報

大岡山のご飯情報です。

大学構内

  • 学食

コロナ禍以後はメニュー数が減っている。鮭フライとアジの大葉フライが美味しい。フェアでガパオを提供するときがありそれも美味しい。とり天の衣はチキンナゲットのような出来であり天ぷらを名乗るのもおこがましい。

キッチンカー

月曜日

  • ばく天

とり天丼の店。鶏の歯ごたえが異次元。量がある。

  • Baran

オムライスの店。600円で食べられるオムライスとしては中々美味だと思う。

火曜日

  • スリーアップ

ザンギのお店。味良し量良しで満足度が高い。お好みでマヨネーズを掛けまくりカロリー大臣になるものヨシ。

  • ぽん屋

魯肉飯の店。注文が入ってから焼く目玉焼きは黄身がトロトロで美味。角煮部分もホロホロで美味しい。お好みで八角を掛けてくれる。味が濃いので水分を忘れないように。

水曜日

  • SHOPPERS

キーマカレーの店。単体でも美味しいがオプションの極太ソーセージ（250円）の食べ応えが圧倒的。食後の満足感がダントツ。画像が映えるのでお勧めしたい。

  • 1126

豚焼きそばと豚丼を提供している。塩味のきいた豚丼がオススメ。

木曜日

ジェネリックサブウェイ。

金曜日

  • MOCHIKO chicken factory

餅粉で揚げた鶏のから揚げ。ソースの種類が豊富。店員が気さく。

サイコロステーキ弁当。肉が食べたくなったら行くと良いかもしれない。

麺屋

  • 麺屋こころ

迷ったらココ。台湾混ぜそばの店で学生の間で人気。ミンチは見た目に反して辛いので初見注意。台湾ラーメンは細麺がスープに良く絡んで美味しい。店舗の老朽化により、2020年12月いっぱいで目と鼻の先に移転予定。

  • 麺屋こころ はなれ

麺屋こころの目と鼻の先にある店。元々は大岡山タンメンという店だったが……。ニンニクたっぷりのスタミナタンメンが非常に美味な逸店だが2021年よりここがこころ大岡山本店となるためタンメンを提供できなくなる。

  • 麺や新源

商店街の入り口にある、黄色い看板が目印の店。辛いのが苦手な人でも食べられる汁無し担々麺が秀逸。味噌ラーメンの味は普通なのでメニューによって当たり外れがあるっぽい。

一部の学生の間でカルト的人気を誇る名古屋からの刺客。トッピングの自由度の高さとポイントカードがウリ。麺を食べに来てるのかポイントカードを埋めに来てるのか分からない。

  • らーめん 凌駕

定期的に新作が並ぶ意欲溢れる店。二郎リスペクト系で麺の量が多い。

  • 長浜ナンバーワン

東京にありがちななんちゃって博多ラーメンではない、本場の博多とんこつラーメン。場所が場所なためか穴場的存在になっている。オススメ。

  • ひるがお

塩ラーメン。学生限定混ぜそばを提供しておりこれがなかなかの美味。

二郎リスペクト。安くて量がある。肉が美味しい。

  • しま坂

"しまさか"ではなく"しまざか"と読む。店主の思想が強い店はラーメンも強い。

定食屋

  • ちか松

地下一階にある居酒屋で昼間は定食を提供している。680円と比較的安価。揚げ物が秀逸なので足を運んだときは是非食して欲しい。サークルの打ち上げでも利用したい良店。

  • 四川屋台

中華料理店。ボリューム満点の四川弁当は学生の強い味方。"四川カレー"なる料理があり注文すると具材が米より多い異常カレーが提供される、一度は注文してほしい。

  • 華宴

王将の隣にある本場っぽい中華料理店。800円ほどで炒飯と麻婆豆腐と餃子をアホほど食べさせてくる定食がある。

  • 上海台所 味庵

中華料理店だけど量は多すぎなかった記憶がある。

牛角と同じ建物の地下一階にある広島風お好み焼き店。

  • 山本のハンバーグ

お洒落なハンバーグ専門店。"本日の野菜ジュース"と称し、御託を並べて健康そうな野菜ジュースを提供してくれる。ランチというよりディナーで利用したい。おいしい。

  • もつ鍋らく

昼間はランチを提供している。豚に一味唐辛子をこれでもかというほど掛けた料理（名前を忘れた）が美味しい。夜に利用すると柔らかく溶けるようなモツのもつ鍋を堪能できる、オススメ。

  • すみ食堂

入口は物々しいが入ってしまえば落ち着いた雰囲気の良店。一人鍋を食べられる。

  • 潮さい茶屋つかさ

比較的安価に海鮮料理を食べられる。ランチメニューの種類も豊富。魚が食べたくなったらとりあえずここに行くと良い。

  • ココナッツシュガー

タイ料理店。本格的。

  • 極バー

地下一階にあるハンバーグ店。気軽に入店したらお高い店で仰天した覚えがある。

海鮮系。ドラマのロケ地に使われたこともあるらしいが……。

  • あたりや

どうしてもトンカツを食べたくなった時に利用すると良い。

カレー

  • マーマイ

大岡山で一番美味しいカレー屋だと思っているが値段がやや高い。カレーの種類が圧倒的に多い。ランチタイムの牛すじカレーが美味しい（ナンとライスのどちらかを選べる）。

  • シッダールタ

駅最寄りのインドカレー屋。美味しい。

  • コピラ

ラッシーが美味しい。駅から遠いためあまり足を運んでいないが落ち着いた雰囲気の店だったと記憶している。

  • プロムナード

ジャパニーズトラディショナルカレー。焼きカレーやオムカレーも提供している面白い店。トッピングの種類が豊富。

その他

  • イトキト

大岡山パン屋Tier1。リッチ系もリーン系も美味しい。

  • Teaful

スイーツ店。シュークリームが美味しい。

  • Cafe Mikawayaonline

タピオカやクレープを食べられる。以前はハンバーガーが食べられたが今もやっているかは不明。

  • パティスリークレソン

駅最寄りのケーキ屋。シックな雰囲気で年季を感じる。

床の間の道具覚書(『茶道具百科第一巻　床の間の道具　扱いと心得』より)

茶道

掛物

掛物は大きく三種類に分けられる。書蹟(掛字)・絵画(掛絵)・画讃。 花押は覚えゲーなので覚えなくていいけど坐忘斎と鵬雲斎あたりは覚えていても損はないと思うので覚えたい。

軸

円柱が頭切、バームクーヘンみたいな物が蛇腹、キノコらしい物が撥、丸っこいのが宗丹、円柱の角を切ったものが削面。

表具裂(ひょうぐきれ？)

金襴

中国宋時代に袈裟を金襴衣と呼び、渡来した僧が着ていたことから名付く。銀箔糸を用いたものを銀欄と呼ぶ。 特徴は蔦と6,7弁の花。よく見かける。

金紗

金襴の一種類。紗を地に気品ある金襴にしては細い刺繍が特徴。

竹屋町裂

紗を地に平金糸。京都の竹屋町で織られたことが由来。糸の縫い方が金紗と違う。

印金

金箔を押し付けて模様をつける。

風通(見たことあるかもしれないが自信がない、表裏で地の色が逆になっている)、緞子(渋い、柄でなんとなくわかる)、間道(ボーダーっぽい)などがある。

掛物の格

真行草の順に裱褙（ひょうほえ）幢褙（どうほえ）輪褙（りんほえ）がある。 裱褙は天地を分けない中廻しが特徴的なのでぱっと見わかる。幢褙と輪褙の見分けがつきにくい。中廻しの左右を細くした物が輪褙らしい。その三種の中でさらに格があり、真は一文字廻し、行は一文字、草は一文字なし、である。

花入

かねの花入については鶴首、桃底、曽呂利の区別がつけば上等。曽呂利は鶴首よりもやや短いが細く、首の下部で少し膨らんでいる。古銅と砂張の違いがわからない。

花入は形なり焼きなりで分量が半端ではないので、茶会や稽古などの機会その都度覚えればいい。 覚えるべきは薄板。

矢筈板

唯一、真の花入に用いる。端の広い方が上部。檜の真塗。

蛤端

丸角共に行の花入に用いる。ただし、木地のものは草の花入に用いる。端が貝合わせした蛤みたいな形状である。

丸香台

草の花入に用いる。木目の味が残った掻き合わせ塗で高さがある。