本篇报告基于上一篇文章，详情请点击本链接

钓鱼事件情报档案（第二版）

合规声明：本调查未对目标域名或 IP 发起任何直接连接、扫描、探测或利用。所有结论来自公开数据源与用户自愿提供的邮件原件。文中"薄弱环节"部分仅用于防御、检测与举报。

一、作战时间线（2026-10-09，CST = UTC+8）

关键推论：两个域名（落地域 icoliooiuo.jp 与发信域 dcmiccomo.jp）的 DNS 区域文件在同一天上午、相隔 85 分钟内先后配置完成。这种时间耦合基本排除了巧合，指向同一操作者在同一时段批量搭建。

二、核心结论（TL;DR）

1. 这是一次 仿冒 Mercari 的日语钓鱼投放，邮件与落地页全部为伪造（收件人并无 Mercari 账号）。
2. 攻击者使用双域名分工：dcmiccomo.jp 专用于发信，icoliooiuo.jp 专用于承接钓鱼页面。发信域被拉黑不影响落地页，反之亦然。
3. SPF 与 DKIM 全部验证通过 —— 这不是"伪造发件人"，而是"用自己的域名冒充"。邮件认证通过 ≠ 邮件可信，这是本案最值得科普的一点。
4. 落地页启用了 cloaking（伪装跳转）：不带追踪参数访问会被 302 送到正牌 jp.mercari.com。
5. 从邮件源码中发现 Gmail 链接包装与图片代理残留，其中 ust 时间戳解出 2026-08-22 —— 说明钓鱼模板是从一个 Gmail 邮箱收到的正版 Mercari 通知信里原样复制出来的。
6. 邮件正文顶部残留 email:****@163.com 的变量替换标记，是群发的直接证据。
7. 全部基础设施位于日本：落地站在 Latitude.sh 东京，发信在 NTTPC Communications 东京，两个域名均由 GMO 系日本注册商提供。→ 向日本本地机构举报最有效。

三、钓鱼落地页 icoliooiuo.jp

3.1 证书（CT 日志）

两张证书相隔 16 秒连续签发 → 自动化脚本的批量重试特征。只签单域名 → 没有任何备用/关联子域名，投入极小。

3.2 服务器

3.3 应用层指纹

HTTP/1.1 302 Found
Server: nginx/1.30.5
X-Powered-By: Express
Set-Cookie: connect.sid=s%3A<uuid>.<hmac>; Path=/; HttpOnly; SameSite=Lax
Location: https://jp.mercari.com/

• X-Powered-By: Express + 默认 connect.sid → Node.js / Express 的现成钓鱼套件，未做加固。
• Server: nginx/1.30.5 → 前置 nginx 反代。

3.4 Cloaking（伪装跳转）

不带 ?e= 参数访问首页 → 302 跳转到正牌 https://jp.mercari.com/。

作用：骗过自动化扫描器与事后回访的受害者，并因此未进入任何公开威胁情报库（VirusTotal、urlscan.io、OpenPhish、AlienVault OTX 均 0 条记录）。

注意：仿冒对象是 Mercari，所以兜底跳转指向真正的 Mercari —— 这条线索与后文邮件内容完全吻合。

四、发信基础设施 dcmiccomo.jp

4.1 邮件关键头字段

From: =?UTF-8?B?44Oh44Or44Kr44Oq?= <[email protected]>       ← 显示名「メルカリ」
To: ****@163.com
Subject: =?UTF-8?B?44CQ44Oh44Or44Kr44Oq44CR44Ot44Kw...?=      ← 【メルカリ】ログイン通知
Date: Fri, 09 Oct 2026 14:17:59 +0000                           ← = 22:17:59 CST
Message-ID: <[email protected]>
List-Unsubscribe: <https://dcmiccomo.jp/unsubscribe> (unsubscribe)
Received: from mail.dcmiccomo.jp (unknown [116.80.119.241])
          by gzmx19 (Coremail) with SMTP id vCgvCgDnbyqZ98hqG2S2BQ--.23020S3;
          Fri, 09 Oct 2026 22:18:01 +0800 (CST)
Authentication-Results: gzmx19;
          spf=pass [email protected];
          dkim=pass [email protected]
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=dcmiccomo.jp; s=mail; ...

4.2 邮件正文中的真实链接

最阴险的一手：邮件里大部分链接是真的，只有那一个"开始处理"的主按钮是假的。受害者随手检查其它链接都是 mercari.com 正牌域名，很容易放松警惕。

4.3 发信域名画像

4.4 发信 IP

4.5 投递链路

整套邮件头中只有一条 Received 记录：从 mail.dcmiccomo.jp (116.80.119.241) 直投 163.com 的 Coremail（gzmx19）。

没有正常企业邮件应有的多级中继链 —— 典型的批量发信基础设施直连收件方 MX 的行为模式。

五、从邮件源码看到的"攻击者工作台"

这一节是本次调查最有意思的部分：邮件源码里残留了攻击者制作模板时的工作痕迹。

5.1 模板来自 Gmail 里的正版邮件

正文中的图片与链接带有明显的 Gmail 加工痕迹：

https://ci3.googleusercontent.com/meips/ADKq_NbTyVBTYADnLvOeBSE8fX48ckU8JDcfvdyIuBiQBfPsWMNv3OC1-HyBTUm8Gyp2g660EK2xtm5CLmUoVcGyG59y1icelNEMnAnncR7XbCai5CjyJ3LfsX4aDQ=s0-d-e1-ft#https://static.mercdn.net/assets/img/mail_responsive/common/logo.png

https://www.google.com/url?q=https://login.jp.mercari.com/recovery&source=gmail&ust=1787380540627000&usg=AOvVaw053pmMvYXP26rW9YgurhxI

• ci3.googleusercontent.com/meips/... 是 Gmail 的图片代理地址；# 后面才是 Mercari 的真实 CDN（static.mercdn.net）。
• www.google.com/url?...&source=gmail&ust=... 是 Gmail 改写外链的标准格式。

• 把 ust 参数（微秒时间戳）解出来：

  1787380540627000 µs → 2026-08-22 06:35:40 UTC（= 2026-08-22 14:35:40 CST）

结论：攻击者是在 Gmail 里收到一封真正的 Mercari 通知邮件后，把 HTML 原样复制出来改造成钓鱼模板的。这个时间戳说明那次"取材"发生在 2026-08-22，比本次投放早了约 7 周。

5.2 群发标记忘了删

text/plain 与 text/html 两个部分的最开头都残留了这么一行：

email:****@163.com

这是群发系统用来做收件人变量替换的标记，投递时忘了清理。它是批量群发的直接物证，也与链接里 ?e=<邮箱> 的追踪参数相互印证 —— 每个受害者收到的链接都不同，后台可精确统计谁点了。

六、基础设施关联总览

                    ┌──────────────────────────────────────┐
   发信侧            │  发信域名  dcmiccomo.jp               │
                    │  DNS: ムームードメイン (GMO Pepabo)    │
                    │  MX : mail.dcmiccomo.jp               │
                    │  SPF: ip4:116.80.119.241  (pass)      │
                    │  DKIM: s=mail (pass)                  │
                    └───────────────┬──────────────────────┘
                                    │ 直投（单跳，无中继）
                                    ▼
                    ┌──────────────────────────────────────┐
                    │  发信 IP   116.80.119.241             │
                    │  AS2514 NTTPC Communications          │
                    │  东京 千代田区 / HOSTING-NET4          │
                    │  PTR: *.pro.static.arena.ne.jp        │
                    └──────────────────────────────────────┘

                    ┌──────────────────────────────────────┐
   落地侧            │  钓鱼域名  icoliooiuo.jp              │
                    │  注册商: お名前.com  (GMO)            │
                    │  DNS  : 01-04.dnsv.jp (Value Domain)  │
                    │  证书 : Let's Encrypt 单域名           │
                    └───────────────┬──────────────────────┘
                                    ▼
                    ┌──────────────────────────────────────┐
                    │  服务器    89.187.28.99               │
                    │  AS396356 Latitude.sh  (东京)         │
                    │  nginx/1.30.5 + Express               │
                    │  行为: GET / → 302 → jp.mercari.com   │
                    └──────────────────────────────────────┘

两个域名分属 GMO 集团的两个不同品牌（お名前.com / Value Domain 与 ムームードメイン），服务器分属两家不同的日本主机商。这说明攻击者有意识地做了基础设施拆分：即使发信域被拉黑，落地页仍然可用。

七、共租户说明（勿误伤）

对 89.187.28.99 反向查询得到同 IP 的其他主机名：

houses13.com
mail.houses13.com
odahvii.direct.quickconnect.to
zengmengbin.direct.quickconnect.to

⚠️ 这些与本案无关。 该 IP 属于 Latitude.sh 的共享裸金属/虚拟化平台（*.direct.quickconnect.to 是群晖 NAS 的快速连接域名，属普通用户）。

请勿将上述域名及其所有者与本次钓鱼事件关联或公开指控。

八、薄弱环节（仅用于防御与举报，非攻击指引）

未经授权对他人系统进行扫描、渗透、破坏，在中国、日本及其他司法辖区均属刑事犯罪。即便目标是钓鱼站点，也不构成合法授权（合法授权只能来自资产所有者，而资产所有者正是犯罪嫌疑人）。

九、IOC 汇总

# ===== 域名 =====
icoliooiuo.jp          # 钓鱼落地页（2026-10-09 注册）
dcmiccomo.jp           # 发信域名（无 A 记录，纯发信）
mail.dcmiccomo.jp      # 发信主机

# ===== IP / ASN =====
89.187.28.99           # 落地页服务器   AS396356 Latitude.sh (东京)
116.80.119.241         # 发信服务器     AS2514 NTTPC Communications (东京)

# ===== DNS =====
01.dnsv.jp  02.dnsv.jp  03.dnsv.jp  04.dnsv.jp   # Value Domain (GMO)
dns01.muumuu-domain.com  dns02.muumuu-domain.com # ムームードメイン (GMO Pepabo)

# ===== 邮件指纹 =====
Message-ID: [email protected]
From:       [email protected]  (显示名「メルカリ」)
Subject:    【メルカリ】ログイン通知
SPF:        v=spf1 mx a ip4:116.80.119.241 ~all
DKIM:       s=mail  d=dcmiccomo.jp

# ===== 证书 (SHA-256) =====
730233b4b5ef79b15b3f53f362f4a1d0f69d63e6c75a559e8083f247cbce6368
40fa07b6085ce213d8222412ff51fc135cf983dedf4bb44de7f816a19cacd2ee

# ===== 行为特征 =====
GET https://icoliooiuo.jp/            →  302  Location: https://jp.mercari.com/   (Cloaking)
Response Header: X-Powered-By: Express
Cookie: connect.sid
邮件模板残留: ci3.googleusercontent.com/meips/  +  google.com/url?...source=gmail&ust=1787380540627000
邮件正文残留: email:<收件人地址>   (群发变量替换标记)

十、举报与处置渠道

十一、局限性与待补充

1. dcmiccomo.jp 的注册日期未能通过公开渠道确认 —— 该域名的 WHOIS 查询页解析失败，且域名启用了隐私保护。但从其"无 A 记录 / 无证书 / MX 指向新主机 / SOA 区域文件与落地域同日间隔 85 分钟配置"的组合特征看，几乎可以确定同样是新注册的一次性域名。
2. 攻击者身份无法定位 —— 隐私代理 + 匿名注册 + 商业共享主机，公开渠道不可能追溯到自然人。任何声称"查到黑客真实身份"的说法在此类案件中基本不可信。
3. 同源基础设施关联 —— 需要付费被动 DNS / 反向 WHOIS 服务（SecurityTrails、DomainTools 等）才能关联同批注册的其它域名（可用 SOA 序列号时间簇作为切入点）。
4. 未接触目标 —— 因目标启用 cloaking 且我方刻意避免从自身 IP 直连，钓鱼页面具体长什么样、窃取哪些字段未能获取。若需补全，应通过有资质的机构（反诈中心 / 協議会）提交，而非自行访问。

报告结束。数据采集时间 2026-10-09。钓鱼基础设施生命周期极短，IP、证书等指标可能随时失效。
本报告由 DeepSeek-V41-Flash 整理生成