フィッシング詐欺サイト情報

April 22, 2006

● hsbc.co.ukの偽サイト ttp://hsbc.usersvalidation.com/HSBC/secure/login/index.html

ClamAVでHTML.Phishing.Bank-443と検知されています。

hsbc.usersvalidation.comのアドレスは23:35現在引けません。

usersvalidation.comのドメインは4月20日に1年の期限で取得されています。この状況とドメイン名から考えて詐欺のために取得したものと判断できます。

これから出現するかもしれないので要観察です。

● chase.comの偽サイト ttp://www.labirdy.com/onlineManagement/members.htm

ClamAVでHTML.Phishing.Pay-16と検知されています。

ドメイン名を違えてまた1つ立ち上がりました。同時多発ゾンビフィッシング詐欺です。

www.labirdy.comのアドレスは複数あります。
12.214.71.231 12-214-71-231.client.mchsi.com
82.59.198.194 host194-198.pool8259.interbusiness.it
82.232.86.105 car06-1-82-232-86-105.fbx.proxad.net

サーバーの応答は全部共通でApache/2.0.55 (Debian) PHP/4.4.2-1です。昨日と本日分あわせて3件全部同じ応答です。Debianと偽装されていますが実際はウイルスに感染したWindowsマシンです。

ドメインlabirdy.comは4月20日に取得され1年の期限です。取得日も前回と同じです。

おなじみのアンケートに答えて20ドル画面。

アカウント選択画面。

カード番号詐取画面。

PIN（暗証番号）詐取画面。

● chase.comの偽サイト ttp://211.53.72.208:84/www.chase.com/index.html

ClamAVでHTML.Phishing.Bank-159と検知されています。

アドレス211.53.72.208は韓国、逆引きは例によってありません。韓国のNICはどう指導しているんでしょうか。

サーバーの応答はポート80がMicrosoft-IIS/6.0、ポート84がApache/1.3.23 (Win32)です。

ポート80のトップページは韓国語のエラーメッセージらしき画面、ポート84のトップページは空白です。ポート80で立ち上がっているのに詐欺サイトをポート84で立ち上げたわけなのでクラックされたのではないでしょうか。

下のchase.comの件とあわせてcyota.comに通報しました。それにしても何故chase.comばかりなんでしょうか。

でたらめのIDでログインできます。

口座種類の選択画面。選ばないと先に進みません。

カード番号、暗証番号詐取画面。（上側）

（下側）

● chase.comの偽サイト ttp://www.zemm1.com/SSL/account.htm

ClamAVでHTML.Phishing.Pay-16と検知されています。

www.zemm1.comのアドレスは以下のように複数あります。昨日に続いてゾンビPCによるフィッシングです。

82.158.225.112 112.red-82-158-225.user.auna.net
82.232.86.105 car06-1-82-232-86-105.fbx.proxad.net
82.237.111.110 lib59-2-82-237-111-110.fbx.proxad.net

サーバーの応答はゾンビPCフィッシングの特徴で全部同じ Apache/2.0.55 (Debian) PHP/4.4.2-1 です。今回の応答は昨日のものと同じなので別チャンネルで動くウイルスが遠隔からのコマンドで活性化したということです。画面も昨日のものと完全に同じです。

ドメインzemm1.comは今回の詐欺のために取得したもので4月20日の登録で1年の期限です。