ClamAVでHTML.Phishing.Bank-403と検知されています。

ここに繋ぐと ttp://210.17.185.90/.login/start.html に転送されます。

69.72.209.62 はアメリカ、逆引きはvps.cdwire.net、サーバーの応答は以下
Server: Apache/1.3.34 (Unix) mod_auth_passthrough/1.8 mod_log_bytes/1.2 mod_bwlimited/1.4 PHP/4.4.1 FrontPage/5.0.2.2635 mod_ssl/2.8.25 OpenSSL/0.9.7a

210.17.185.90 は香港、逆引きは無し、サーバーの応答は以下
Server: Apache/1.3.23 (Unix) (Red-Hat/Linux) mod_python/2.7.6 Python/1.5.2 mod_ssl/2.8.7 OpenSSL/0.9.6b DAV/1.0.3 PHP/4.1.2 mod_perl/1.26 mod_throttle/3.1.2

どちらもトップページは別の画面なので両方ともクラックされていると判断できます。

cyota.comに通報しました。

でたらめのIDでログインできます。

パーソナルアカウントを選んでみます。

カード番号詐取画面です。

14日の詐欺サイトの準備ができたのでサイトが立ち上がっています。ドメイン名から予想された通りアンケートに答えてくれれば20ドル振り込みますという詐欺でした。

online-survey-reward.comのアドレスは217.129.250.199でポルトガル、逆引きはto-217-129-250-199.netvisao.ptです。このアドレスは4月13日に見つかったebay.comの偽ページと同じアドレスに立ち上がっています。

ドメインonline-survey-reward.comは4月12日に取得されたばかりで1年の期限です。

サーバーの応答は以下です。
Apache-AdvancedExtranetServer/2.0.50 (Mandrakelinux/7.6.101mdk) mod_ssl/2.0.50 OpenSSL/0.9.7d PHP/4.3.8

cyota.comに通報しました。

アンケートに答えると20ドル振り込みますと誘います。何も答えなくても次の画面に移れます。

口座の種類の選択画面。何も選ばなくても次の画面に移れます。

やっとログイン画面、もちろんでたらめでもログインできます。

口座番号とクレジットカード番号の詐取画面。

PIN（暗証番号）の入力画面。

サンキュー画面、しばらくすると自動的に本物のサイトに飛ばされます。

ClamAVでHTML.Phishing.Bank-403と検知されています。

ここにつなぐと ttp://1162391944/chase/index.htm に転送されます。普通の表記だと ttp://69.72.177.136/chase/index.htm です。

転送先ではすでにコンテンツが消去されていて Not Found になります。

www.truvan.cz のアドレスは62.204.224.11でチェコ、逆引きはsoptik.eltec.czです。

アドレス69.72.177.136はアメリカ、逆引きはns1.csywebhosting.comです。

ClamAVでHTML.Phishing.Bank-213と検知されています。

アドレス200.216.179.85はブラジルで逆引きはありません。

トップページはサーバー管理画面が見えます。ディレクトリ名がドットからはじめるのでクラックされているものと考えられます。

サーバーの応答はApache/2.0.52 (CentOS)です。

でたらめのIDでログインできます。

カード番号詐取画面です。

管理者によって既にサービスが停止(Suspended)された状態です。アメリカのサービスは迅速なところが多いですね。

アドレスは72.9.253.74でアメリカです。逆引きはsecure05.secure-transact.netです。

ClamAVでHTML.Phishing.Auction-28と検知されています。

www.tone2tone.comのアドレスは212.227.119.68でドイツ、逆引きはkundenserver.deです。

トップページは普通のサイトなのでクラックされているものと判断できます。

サーバーの応答は Apache/1.3.33 (Unix) です。

でたらめのIDを入れるとログインに失敗します。

失敗したときの警告画面。この時点で詐取されたIDとパスワードはメールで犯人に送られているはず。

アドレスは216.120.233.16でアメリカ、逆引きはhost50.hrwebservices.netです。

トップページは普通のサイトなのでクラックされているものと判断できます。

サーバーの応答は以下です。
Server: Apache/1.3.33 (Unix) mod_auth_passthrough/1.8 mod_log_bytes/1.2 mod_bwlimited/1.4 PHP/4.3.11 FrontPage/5.0.2.2634a mod_ssl/2.8.22 OpenSSL/0.9.6

でたらめのIDを入れるとログインに失敗します。

失敗したときの警告画面。この時点で詐取されたIDとパスワードはメールで犯人に送られているはず。