● www.global-nuclear.org のチェーンメール
ttp://www.global-nuclear.org/ のサイトを宣伝するチェーンメールがまた多数発生しています。今回は英文になりましたが差出人は日本人のメールアドレスです。
これが今回のサンプルでトラップアドレスに届いています。
メールアドレスは絶対登録しないようにしましょう
通報がありました。その方の連絡では「ホームページにアクセスしたところウィルスバスターがEXPL_TXTRANGE.Aを検知した」とのことです。このウイルスはいわゆるゼロデイ攻撃のウイルスでアップデートの済んでいないIEだとすぐに感染してしまうので注意。
スタッフが再度アクセスし空欄のままボタンを押してもみたのですがIEをアップデートしてあるせいか何も起こりませんでした。ファイルとして保存しウイルスチェックをしても発見されませんでした。これに関して別の結果が出た方の詳細な情報をお待ちしています。アクセスする場合にはウイルスパターンを最新版にするなど十分な注意をしてください。危険ですからセキュリティの備えや知識の無い方は面白半分でアクセスしないように。ウイルスに感染しますよ。
● chase.comの偽サイト ttp://www.chaseonlinebanking.us/colappmgr/colportal/prospect.php?_nfpb=change_form
ClamAVでHTML.Phishing.Bank-485と検知されています。
www.chaseonlinebanking.usのアドレスは203.244.164.150で韓国、逆引きが珍しくありbi.daegu.ac.krです。韓国の大学がクラックされています。
サーバーの応答Apache/1.3.31 (Unix) PHP/4.3.7です。cyota.comに通報しました。
出鱈目のIDを入れると一旦エラーになります。
エラーとびっくりさせます。また出鱈目を入れると次に進みます。
カード番号を含む個人情報詐取画面。（上部）
（下部）
● paypal.comの偽サイト ttp://info-webscrs.com/usa/paypal/cgi-bin/webscr/login.php
下にある説明の
ttp://restore-login.com/usa/paypal/cgi-bin/webscr/login.php
と同じです。同じ詐欺サイトに対して複数のドメインを使っています。
ドメインinfo-webscrs.comは5月26日に取得され1年の期限です。取得日も同じです。
● ebay.comの偽サイト ttp://get-me.to/ebayupdates2006
get-me.toは無料レンタルサーバーです。犯人が加入したものと思われます。サイトはアメリカにあります。
ebay.comに通報しました。
カード番号詐取画面です。真似をしてガキが立ち上げたようなサイトでトップのところにバナー広告が出ます。
（上部）
（下部）
● paypal.comの偽サイト ttp://restore-login.com/usa/paypal/cgi-bin/webscr/login.php
アドレスは217.76.132.43でスペイン、逆引きはflgb662.serveursdns.net、サーバーの応答はApacheです。
ドメインrestore-login.comドメインはこの詐欺の為に取得されたもので5月26日の取得で1年の期限です。
paypal.comに通報しました。
出鱈目をいれても下のようにエラーになります。
この時点でIDとパスワードが盗まれています。
● ebay.comの偽サイト ttp://203.246.104.161/.../signin.ebay.com/eBayISAPI.dllSignIn/co_partnerId/=2pUserId=&siteid=0&pageType=&pa1=&i1=&bshowgif=&UsingSSL=&ru=&pp=&ruparams=&ruproduct=&sid=&favoritenav=&migrateVisitor=/eBayISAPI.dll2SignIn8co_partnerId.php
アドレス203.246.104.161は韓国、逆引きは無し、サーバーの応答はApache/1.3.27 (Unix) PHP/4.2.3です。
トップページはApacheのデフォルトページですがディレクトリがドットから始まっていることからクラックされている可能性があります。
ebay.comに通報しました。
出鱈目をいれても下のようにエラーになります。
エラー画面。この時点でIDとパスワードが盗まれています。
時間稼ぎなのか通信文を送るページ。
このあとクリックすると本物にサイトに飛びます。
● citibank.comの偽サイト ttp://18thcenturymerchant.com/uploads/https/www.accountonline.com/AccountVerify.php
アドレスは66.160.166.111で逆引きは同じ、サーバーの応答は以下：
Apache/2.0.54 (Unix) mod_perl/1.99_09 Perl/v5.8.0 mod_ssl/2.0.54 OpenSSL/0.9.7d DAV/2 FrontPage/5.0.2.2635 PHP/4.4.0 mod_gzip/2.0.26.1a
トップページを見ると販売のサイトなのでクラックされていると判断できます。
cyota.comに通報しました。
いきなりカード番号詐取画面です。
● paypal.comの偽サイト ttp://216-166-230-90.clec.commercial.madisonriver.net:81/update/
ClamAVでHTML.Phishing.Pay-34と検知されています。
調査した時点で接続が拒絶されます。
ポート80の応答はMicrosoftOfficeWebServer: 5.0_Pubです。ttp://10.0.0.2/Default.htmのローカルアドレスに転送されるようになっているので犯人が立ち上げている可能性もあります。
● paypal.comの偽サイト ttp://211.108.64.208/%20/www.paypal.com/update/cgi-bin/webscrcmd_login.php
ClamAVでHTML.Phishing.Pay-130と検知されています。
アドレス211.108.64.208は韓国、逆引きは無し、サーバーの応答はApache/1.3.34 (Unix) PHP/4.3.4。
出鱈目のIDでログインできます。
認証しているふりの画面。
カード番号詐取画面です。
● ebay.comの偽サイト ttp://acc144-yy7.info/https/ISAPIebay/login.htm
acc144-yy7.infoのアドレスは以下のように複数あります。全部ADSL/CATV回線上にあります。ゾンビPCによるフィッシングです。
24.13.8.149 == c-24-13-8-149.hsd1.il.comcast.net
24.116.180.109 == 24-116-180-109.cpe.cableone.net
64.53.175.197 == d53-64-197-175.nap.wideopenwest.com
68.59.54.95 == c-68-59-54-95.hsd1.fl.comcast.net
69.246.222.244 == c-69-246-222-244.hsd1.in.comcast.net
サーバーの応答は以下で全部同じです。OSは全部がWindowsです。
Server: Apache
X-Powered-By: PHP/5.1.2
Location: about:blank
DNSとして以下が登録されています。今回はゾンビPCでは無いようです。OSはどちらもFreeBSDが使われているようです。
NS1.VIP-ACC.COM == 208.65.60.104 == 逆引き無し、カナダ
NS2.VIP-ACC.COM == 66.199.241.34 == x-stacja.net
このDNSに使われているドメインVIP-ACC.COMは5月14日に取得され1年の期限なのでこれも詐欺に関係しているものと思われます。
出鱈目のIDでログインできます。
カード番号詐取画面です。
● ebay.comの偽サイト ttp://msl.tc.hgiga.com/.signin.ebay.com/eBayISAPI.dllSignIn/co_partnerId/=2pUserId=&siteid=0&pageType=&pa1=&i1=&bshowgif=&UsingSSL=&ru=&pp=&ruparams=&ruproduct=&sid=&favoritenav=&migrateVisitor=/eBayISAPI.dll2SignIn8co_partnerId.php
msl.tc.hgiga.comアドレスはすでにDNS上で消えています。ドメインhgiga.comは1999年に取得されているのでクラックされていたようです。www.hgiga.comは台湾のセキィリティ関連の会社でした。
● paypal.comの偽サイト ttp://www.lagrandeecole.com/accueil/menu_droite/modele/updates-paypal/
ClamAVでHTML.Phishing.Pay-51と検知されています。
www.lagrandeecole.comのアドレスは213.186.45.163でフランス、逆引きはns2405.ovh.net、サーバーの応答は以下：
Apache/1.3.34 (Unix) mod_gzip/1.3.19.1a PHP/4.4.2 mod_ssl/2.8.25 OpenSSL/0.9.6m
タイトルのURLのつなぐとこの画面が出た上でもう１つ画面一杯の窓が開きます。（下の画面）
アドレスバーが偽装されています。この画面から出鱈目のIDでログインできます。
認証しているふりをした画面が瞬間だけ表示されます。
カード番号詐取画面です。
● paypal.comの偽サイト ttp://163.30.58.13/c.html
ClamAVでHTML.Phishing.Bank-28と検知されています。
ここにアクセスすると ttp://www.paypal.com.h0m.us/webscr.php?cmd=LogIn に飛ばされます。
163.30.58.13の情報：
国は台湾
逆引きは無し
サーバーの応答はMicrosoft-IIS/6.0
www.paypal.com.h0m.usの情報：
アドレスは多数あり、yahoo.comのビジネスサービスを使って犯人が立ち上げているものと思われます。
ドメインh0m.usは詐欺のために取得されたもので5月28日取得で1年の期限。
出鱈目のIDだと下のようにエラーとなります。
この時点でIDとパスワードが詐取されています。
フィッシング詐欺サイト情報
Yesterday: 
