URLは以下

ttp://reports.cforms.visa.com.udaswy.cz/secureapps/vdir/cholderform.php?ref=3D8941911753848890618771419683085475214063230088317715&email=XXX@XXXX_XXX.com

ボットネットによる詐欺です。

今回はドメインは1つながらURLが以下に分かれます。画面は前と同じです。
ttp://alerts.cforms.visa.com.udaswy.cz/
ttp://reports.cforms.visa.com.udaswy.cz/
ttp://statements.cforms.visa.com.udaswy.cz/
ttp://transactions.cforms.visa.com.udaswy.cz/
ttp://sessionid-毎回異なる.cforms.visa.com.udaswy.cz/

アドレスは以下

61.124.87.201 == nttkyo784201.tkyo.nt.ftth.ppp.infoweb.ne.jp
75.172.59.17 == 75-172-59-17.tukw.qwest.net
117.199.102.102 == none
117.200.62.107 == none
178.160.146.42 == none
180.92.76.75 == none
188.129.179.24 == none
190.213.162.152 == none

URLは以下

ttp://alerts.cforms.visa.com.jioyfu.cz/secureapps/vdir/cholderform.php?ref=3D966717303018476186818626709031171844&email=XXX@XXXX_XXX.com

ボットネットによる詐欺です。

使われているドメインは以下
gerdas.cz
hadser.cz
jioyfu.cz
nvbgfy.cz
pasder.cz
udaswy.cz
uijghy.cz
yuferd.cz

アドレスは以下75.172.59.17 == 75-172-59-17.tukw.qwest.net
81.248.52.236 == ACayenne-106-1-52-236.w81-248.abo.wanadoo.fr
92.46.69.94 == none
93.177.185.72 == ip-93-177-185-72.caucasus.net
95.104.57.176 == ip-95-104-57-176.caucasus.net
110.55.167.70 == 110.55.167.70.bti.net.ph
114.142.211.240 == 114-142-211-240.dsl.teleguam.net
116.111.184.185 == none
186.80.111.16 == none
189.18.5.220 == 189-18-5-220.dsl.telesp.net.br
189.192.3.13 == customer-GDL-3-13.megared.net.mx
189.193.222.33 == customer-PUE-222-33.megared.net.mx
189.46.85.118 == 189-46-85-118.dsl.telesp.net.br
190.213.162.152 == none

URLは前回とは異なりますが画面は同じでした。

URLは以下

ttp://transactions.cforms.visa.com.sucipe.vc/secureapps/vdir/cholderform.php?ref=69101607920791568769529817477135591020816626669624945036094047637221&email=XXX@XX_XX.com

ボットネットによる詐欺です。

使われているドメインは以下
ewaszu.co.uk
ewaszu.me.uk
sucipe.vc
sucipy.vc

アドレスは以下
58.158.42.57 == 58x158x42x57.ap58.ftth.ucom.ne.jp
69.79.96.70 == none
115.177.129.136 == nttkyo943136.tkyo.nt.ftth.ppp.infoweb.ne.jp
118.33.211.102 == none
125.138.245.199 == none
189.192.7.75 == customer-GDL-7-75.megared.net.mx
189.193.229.197 == customer-PUE-229-197.megared.net.mx
189.194.133.9 == customer-QRO-133-9.megared.net.mx
189.194.204.79 == customer-QRO-204-79.megared.net.mx
190.213.161.169 == none
200.169.71.144 == customer-20016971144.static.condominios.onda.com.br
200.95.250.127 == none
201.139.142.208 == 201.139.142.208.cable.dyn.cableonline.com.mx
201.153.96.80 == none
211.255.29.30 == none

口座情報詐取画面

OKを押すと本物のサイトに移動します

URLは以下 いきなりウイルスをダウンロードするようになるのでご注意

ttp://www.facebook.com.ddeasuqq.vc/usr/LoginFacebook.php?ref=68118697980721753459536793608413550110616810373636833154859370130648&email=XXX@XX_XX.com

ボットネットによる詐欺です。

使われているドメインは以下
ddeasauq.vc
ddeasqwq.vc
ddeassrq.vc
ddeasuqq.vc
ddeasutq.vc
gertfdq.com.hn
gertfdq.com.sc
gertfdq.com.vc
gertfdq.hn
ukgedsa.com.hn
ukgedsc.com.vc
ukgedsg.com.vc
ukgedsq.com.hn
ukgedsu.com.vc
ukgedsy.com.vc

アドレスは以下
114.142.212.137 == 114-142-212-137.dsl.teleguam.net
116.81.44.86 == nttkyo985086.tkyo.nt.ftth.ppp.infoweb.ne.jp
123.112.1.113 == none
189.104.93.39 == 189104093039.user.veloxzone.com.br
189.193.146.179 == customer-PUE-146-179.megared.net.mx
190.140.29.142 == none
190.142.13.210 == none
190.160.226.227 == pc-227-226-160-190.cm.vtr.net
190.245.121.41 == 41-121-245-190.fibertel.com.ar
201.13.148.100 == 201-13-148-100.dial-up.telesp.net.br
201.165.195.77 == customer-HMO-195-77.megared.net.mx
201.244.253.55 == adsl201-244253055.dyn.etb.net.co
201.26.125.145 == 201-26-125-145.dsl.telesp.net.br
209.88.71.168 == none

つなぐといきなりウイルスをダウンロードさせられます

ログイン画面

そのあとこの画面でリンクをクリックするとまた別のウイルスをダウンロードします

pdf.pdfの分析結果

updatetool.exeの分析結果

URLは以下

ttp://alerts.cforms.visa.com.gertfdv.co.nz/secureapps/vdir/cholderform.php?ref=31396352979906322326523705612582953856069178511846&email=XXX@XXX_XX.com

ボットネットによる詐欺です。

使われているドメインは以下
gertfdv.co.nz
lufdasa.com.hn
uiooo4.com.vc
uiooo5.hn
uiooo6.hn

アドレスは以下
89.218.24.240 == none
93.177.185.72 == ip-93-177-185-72.caucasus.net
114.142.208.125 == 114-142-208-125.dsl.teleguam.net
115.135.107.164 == 135.115.in-addr.arpa
116.81.44.86 == nttkyo985086.tkyo.nt.ftth.ppp.infoweb.ne.jp
117.204.165.181 == none
117.242.112.18 == none
122.177.241.31 == ABTS-North-Dynamic-031.241.177.122.airtelbroadband.in
190.245.121.41 == 41-121-245-190.fibertel.com.ar
193.255.199.145 == none

口座情報詐取画面

これで終わりというダイアログ
OKを押すと本物のサイトに飛ばされます

optonline.netはアメリカのISPです。

サーバー応答はServer: Apache/2.2.4 (Win32) PHP/5.2.3

口座情報詐取画面

トップページはこのようになります。ポート80にはつながりません。