Canadian farmacy homeへのリダイレクト - follow.html

観測日： 2012/7/13

通数： 100通/day

手法： 誘導URL型

目的： 広告誘導

特徴：

サイトに設置されるスクリプトファイルのファイル名が「follow.html」

文面。文章はないですが、サブジェクトがそのまま薬屋さんです。

誘導URLはこのような感じで、最近の流行っぽいもの。

特徴は「follow.html」というファイル名。

中身はこのようなスクリプトで、マルウェア感染で見られるものとは異なります。

このスクリプトにより、たとえばこのURLへ飛ばされます。

 ｈttp://fastrxmeds.ru/secure.php?cmd=home

そこはいつもの薬屋さん。

リダイレクタが設置されているdomainについて調べてみるとこんな感じ。

はやりの改竄のようにも見えますが若干傾向が違うのでサイト自体専用に準備されたものも含まれている可能性があります。

広告サイト本体はドメインはロシア、サイト自体は韓国にあります。

 domain:        FASTRXMEDS.RU
 nserver:       ns1.netegg.ru.
 nserver:       ns2.everserver.ru.
 state:         REGISTERED, DELEGATED, UNVERIFIED
 person:        Private Person
 registrar:     NAUNET-REG-RIPN
 admin-contact: https://client.naunet.ru/c/whoiscontact
 created:       2012.07.11
 paid-till:     2013.07.11
 free-date:     2013.08.11
 source:        TCI
 
 180.70.9.78
 
 inetnum:        180.64.0.0 - 180.71.255.255
 netname:        broadNnet
 descr:          Hanaro Telecom
 descr:          Shindongah Bldg, 43, Taepyeongno2ga, Junggu, Seoul
 descr:          ****************************************
 descr:          Allocated to KRNIC Member.
 descr:          If you would like to find assignment
 descr:          information in detail please refer to
 descr:          the KRNIC Whois Database at:
 descr:          http://whois.nic.or.kr/english/index.htm
 descr:          ****************************************
 country:        KR

[カテゴリ:spam観察日記]

by jyake