CNN.com関連のスパム
Published: 2008/08/15
| update 2008/8/15 |
|---|
8/13から、「msnbc.com - BREAKING NEWS:ほげほげ」というサブジェクトのメールに変わってます。
手法も中身も同じです。
少し対応は進みました。
update by jyake
update: 2008/8/13
8/13 7:00ごろからサブジェクトが「CNN Alerts: Breaking news」に変わってます。
ドメインの方は無限に増え続けているので省略。IPアドレス直のものも多数。htmlファイルは昔のやつに戻ってますね。ダウンロードされるのは、
adobe_flash.exe
- index2.html （始まり）
- cnnnews.html （8/6 4:00ごろから）
- /news/ （8/6 7:00ごろから）
- cnnvideo.html （8/6 21:00ごろから）
- cnnlive.html （8/7 6:00ごろから）
- cnntop.html （8/7 17:00ごろから
- cnnonline.html （8/8 6:00ごろから）
- cnnplus.html （8/8 16:00ごろから）
- cnn.html （8/9 14:00ごろから）
- cnncurrent.html （8/9 20:00ごろから）
- cnnheadlines.html （8/10 16:00ごろから）
- cnnhottopics.html （8/11 6:00ごろから）
- cnnvid.html (8/11 19:00ごろから）追加
- newscnn.html (8/12 6:00ごろから)追加
- cnnlast.html (8/12 16:00ごろから)追加
- update.html (8/13 7:00ごろから)追加
update by jyake
タイトル変えました。
8/8に「CNN.com Daily Top 10」から「CNN Alerts: My Custom Alert」に変わってますね。
ドメインの方は無限に増え続けているので省略。htmlファイルの変化のみ。
- index2.html （始まり）
- cnnnews.html （8/6 4:00ごろから）
- /news/ （8/6 7:00ごろから）
- cnnvideo.html （8/6 21:00ごろから）
- cnnlive.html （8/7 6:00ごろから）
- cnntop.html （8/7 17:00ごろから
- cnnonline.html （8/8 6:00ごろから）
- cnnplus.html （8/8 16:00ごろから）追加
- cnn.html （8/9 14:00ごろから）追加
- cnncurrent.html （8/9 20:00ごろから）追加
- cnnheadlines.html （8/10 16:00ごろから）追加
- cnnhottopics.html （8/11 6:00ごろから）追加
ダウンロードされるファイルは8/8以降変化なく
adobe_flash.exe
です。
update by jyake
update: 2008/8/8
継続してますね。ドメインは増えすぎているので省略しますが、htmlファイルの変化はこんな感じ。
- index2.html （始まり）
- cnnnews.html （8/6 4:00ごろから）
- /news/ （8/6 7:00ごろから）
- cnnvideo.html （8/6 21:00ごろから）
- cnnlive.html （8/7 6:00ごろから）
- cnntop.html （8/7 17:00ごろから）追加
- cnnonline.html （8/8 6:00ごろから）追加
「cnnonline.html」から、htmlの中身とダウンロードさせようとするファイルが変わりました。
adobe_flash.exe
VirusTotal先生〜
update: 2008/8/8 by jyake
create: 2008/8/7
8/5から観測されているspamです。ちょっと騒ぎになってるっぽいので。
とりあえず画像を削除しているのでなんだかわからない文面例ですが･･･タイトルどおりの文面になってます。
文面中のリンクにはマルウェア感染を行わせるためのURLが埋め込まれていて、そのリンクは高頻度に変わります。
ｈｔｔｐ：//isctrim.com/index2.html ｈｔｔｐ：//realdecor.com.br/index2.html ｈｔｔｐ：//vehne-cafe.de/index2.html ｈｔｔｐ：//www.weddingsinsardinia.com/index2.html ｈｔｔｐ：//realdecor.com.br/index2.html ｈｔｔｐ：//208.112.108.239/index2.html ｈｔｔｐ：//dztransporte.de/index2.html ｈｔｔｐ：//www.weddingsinsardinia.com/index2.html ｈｔｔｐ：//tomar-a-andar.com/index2.html ｈｔｔｐ：//attomega.com/index2.html ｈｔｔｐ：//autourdufeu.net/index2.html ｈｔｔｐ：//realdecor.com.br/index2.html ｈｔｔｐ：//voxinterna.de/index2.html ｈｔｔｐ：//realdecor.com.br/index2.html ｈｔｔｐ：//www.dj-ralfi.de/index2.html ｈｔｔｐ：//sol.innopulse.es/index2.html ｈｔｔｐ：//hometrimwork.com/index2.html ｈｔｔｐ：//borinsrl-store.com/index2.html ｈｔｔｐ：//www.bardaue.com.br/index2.html ｈｔｔｐ：//1stbs.com/index2.html ｈｔｔｐ：//3dtoy.com.br/index2.html ｈｔｔｐ：//sethory.de/cnnnews.html ｈｔｔｐ：//496dots.com/news/ ｈｔｔｐ：//reservadeoporto.com/cnnnews.html ｈｔｔｐ：//style-r.de/cnnnews.html ｈｔｔｐ：//facecurve.com/news/ ｈｔｔｐ：//imeriberica.com/cnnnews.html ｈｔｔｐ：//ourmark75.com/news/ ｈｔｔｐ：//studiogabia.com/cnnnews.html ｈｔｔｐ：//www.marmibuono.com/cnnnews.html ｈｔｔｐ：//www.vonalpenhirsch.be/cnnnews.html ｈｔｔｐ：//reservadeoporto.com/cnnnews.html ｈｔｔｐ：//scotsact.com/cnnnews.html ｈｔｔｐ：//www.uwg-groebenzell.de/cnnnews.html ｈｔｔｐ：//energydrinkshop.com/cnnnews.html ｈｔｔｐ：//ophtha.com.co/cnnnews.html ｈｔｔｐ：//www.bellomeparrucchieri.it/cnnnews.html ｈｔｔｐ：//uggi.com.br/cnnnews.html ｈｔｔｐ：//caminhodocristo.com.br/cnnvideo.html ｈｔｔｐ：//familylaw-nj.com/cnnvideo.html ｈｔｔｐ：//www.massouristudios.gr/cnnvideo.html ｈｔｔｐ：//www.transam99.de/cnnvideo.html ｈｔｔｐ：//starbistro.de/cnnvideo.html ｈｔｔｐ：//thediver.co.il/cnnvideo.html ｈｔｔｐ：//maviinci.org/cnnvideo.html ｈｔｔｐ：//sarlcreapub.fr/cnnvideo.html ｈｔｔｐ：//cave-live.info/cnnvideo.html ｈｔｔｐ：//synerweb.info/cnnvideo.html ｈｔｔｐ：//www.60circles.org/news/ ｈｔｔｐ：//www.6feeds.org/news/ ｈｔｔｐ：//jumpking.fr/cnnlive.html ｈｔｔｐ：//www.75cubes.org/news/ ｈｔｔｐ：//pyromagie.com/cnnlive.html ｈｔｔｐ：//piedrarustica.com/cnnlive.html ｈｔｔｐ：//fondeur.com/cnnlive.html ｈｔｔｐ：//beta.wwf.it/cnnlive.html ｈｔｔｐ：//ademirpestana.com.br/cnnlive.html ｈｔｔｐ：//www.nlg.com.br/cnnlive.html ｈｔｔｐ：//www.18columns.org/news/ ｈｔｔｐ：//www.60balloons.org/news/ ｈｔｔｐ：//www.83groups.org/news/
インジェクション系のお話と同じで、ファイル名？も定期的に変更になります。
- index2.html （始まり）
- cnnnews.html （8/6 4:00ごろから）
- /news/ （8/6 7:00ごろから）
- cnnvideo.html （8/6 21:00ごろから）
- cnnlive.html （8/7 6:00ごろから）
storm系というかzlob系というか、は、SQLインジェクション系にくらべるとこれらのURL関連の情報の変更頻度が高めです。
で、まぁ、とにかく、必要なコーデックに見せかけた
get_flash_update.exe
なるファイルをダウンロードさせようとします。
VirusTotal先生に聞いてみるとこんな感じです。
相変わらず検出率低すぎ。
by jyake