管理画面のアバターはイッヌ（doggo）：新フィッシングキット「Xiū gǒu」が日本含む複数国を標的に

佐々山 Tacos

2024.11.01

管理画面のアバターはイッヌ（doggo）：新フィッシングキット「Xiū gǒu」が日本含む複数国を標的に

HackRead – October 31, 2024

新たなフィッシングキット「Xiū gǒu（修狗）」についての分析記事を、Netcraftの研究者らが公開。このキットは、遅くとも2024年9月から、米国、英国、スペイン、オーストラリア、そして日本の公共部門、郵便部門、デジタルサービス部門、銀行部門を狙ったフィッシングキャンペーンを展開するために使われているという。

「イッヌ（doggo）」をメインキャラクターに掲げたフィッシングキット

Netcraftは、Xiū gǒuを使って作成されたフィッシングサイトを2,000件以上確認。これらは、自動車の利用に関する支払いや公共料金の支払い、郵便物に関する支払いなどを口実にしたフィッシングキャンペーンに使われていると伝えている。またこのキットで作成されるフィッシングサイトはCloudflareのアンチボット機能およびホスティング難読化機能を利用し、検出を回避しているという。

キット名に使われている中国語（マンダリン）の「Xiū gǒu（修狗）」は、「犬」を意味する英語のスラング「doggo」と同じような意味合いを持つ言葉で、日本語でいう「イッヌ」に相当すると思われる。この名の通り、このフィッシングキットの管理パネルおよびTelegramボットには、犬のイラストがアバターとして使われている。

そのほか、NetcraftはXiū gǒuの特徴として以下の点を挙げている：

フィッシングページおよび管理パネルのフロントエンドにはVue.js、バックエンドにはGo言語（SynPhishServer実行ファイル経由）が使われるなど、従来のようなPHPのフィッシングキットとは異なり、現代的なテックスタックを使って開発されている。
フィッシングページに入力されたターゲットの認証情報はTelegramボットを使って抽出されるため、たとえフィッシングサイト自体がテイクダウンされたとしても、攻撃者は騙し取ったデータへ引き続きアクセスできる。
ルアーメッセージは、SMSではなくRCS（リッチコミュニケーションサービス）を使って送られる。
トップレベルドメインには「.top」が使われることが多いほか、それぞれの詐欺テーマにちなんだドメイン（自動車関連の詐欺なら「parking」、公共料金関連なら「living」など）か、なりすまし対象（英国政府など）の名前の一部を含んだドメインが登録されるのが一般的。
アバターの犬をユーザーがクリックすると「サグライフ」バージョンに切り替わるなど、Xiū gǒuの作成者はこのキットに遊び心を散りばめている。
スクリプト言語の使い方やユーザーチュートリアルが用意されている事実などを踏まえると、Xiū gǒuの作成者はユーザーエクスペリエンスを重視していると思われる。
Xiū gǒuの作成者は同キットの利用状況を測定・分析しているが、これにはおそらく、分析結果を踏まえてキットを改善することにより、フィッシングキットとしての競争力を高める狙いがあると思われる。