IRSを騙るスパム
Published: 2009/09/25
IRS (The Internal Revenue Service)=アメリカ合衆国内国歳入庁
最近非常にたくさん捕捉してます。
以前からもあったようですが、前までは「税金還付が受けられます」というメールでフィッシングサイトに誘導して情報を抜くというタイプだったようですが、
今回は、下図のように「未報告/未払いの収入があるのでtaxステートメントをダウンロードして見なさい」というメールが届いて
こんな誘導URLが使われていて
www.irs.gov.nuko7uw.eu/fraud_application/directory/statement.php? email=xxx@xxx.xxx
アクセスするとこんなサイトで
tax-statement-taxpayer_id_.exe
というファイル名のマルウェアをダウンロードさせられるタイプになっているようです。
(※今現在はうまくダウンロードできませんでした)
ドメインの例。
Domain: nuko7uw Registrant: NOT DISCLOSED! Visit www.eurid.eu for webbased whois. Registrar Technical Contacts: Name: Support Team Organisation: Domain The Net Technologies Ltd Language: en Phone: +97.237600500 Fax: +97.237600505 Email: admin@dtnt.com
はい、ボットを利用したフィッシングというかマルウェア配布サイトですね。
;www.irs.gov.nuko7uw.eu. IN A ;; ANSWER SECTION: www.irs.gov.nuko7uw.eu. 1800 IN A 151.59.97.11 www.irs.gov.nuko7uw.eu. 1800 IN A 189.172.40.250 www.irs.gov.nuko7uw.eu. 1800 IN A 195.111.33.232 www.irs.gov.nuko7uw.eu. 1800 IN A 213.60.229.70 www.irs.gov.nuko7uw.eu. 1800 IN A 66.212.155.140 www.irs.gov.nuko7uw.eu. 1800 IN A 67.164.7.67 www.irs.gov.nuko7uw.eu. 1800 IN A 74.3.203.93 www.irs.gov.nuko7uw.eu. 1800 IN A 77.111.153.247 www.irs.gov.nuko7uw.eu. 1800 IN A 78.106.255.240 www.irs.gov.nuko7uw.eu. 1800 IN A 79.117.170.157 www.irs.gov.nuko7uw.eu. 1800 IN A 82.81.232.228 www.irs.gov.nuko7uw.eu. 1800 IN A 89.229.198.123 www.irs.gov.nuko7uw.eu. 1800 IN A 95.208.28.226 www.irs.gov.nuko7uw.eu. 1800 IN A 109.104.177.82 www.irs.gov.nuko7uw.eu. 1800 IN A 125.140.181.17 ;; AUTHORITY SECTION: nuko7uw.eu. 1800 IN NS ns1.nakturgirl.com. nuko7uw.eu. 1800 IN NS ns2.nakturgirl.com. ;; ADDITIONAL SECTION: ns2.nakturgirl.com. 172800 IN A 144.131.34.33 ns1.nakturgirl.com. 172800 IN A 207.126.161.29
参考まで、今日観測されたドメインだけ。
典型的な形ですね。
www.irs.gov.veh7kio.eu www.irs.gov.qyh7kio.eu www.irs.gov.zah7kio.eu www.irs.gov.ger11sa.com www.irs.gov.mi11ff.eu www.irs.gov.mi11fa.eu www.irs.gov.iz1hf2.eu www.irs.gov.nuko7ur.eu www.irs.gov.ger11zi.com www.irs.gov.mah7kio.eu www.irs.gov.nuh7kio.eu www.irs.gov.nuko7uu.eu www.irs.gov.iz1rf2.eu www.irs.gov.iz1kf2.eu www.irs.gov.i11mte.eu www.irs.gov.iz1uf2.eu www.irs.gov.ger11za.com www.irs.gov.go11juy.eu www.irs.gov.nuko7uk.eu www.irs.gov.nuko7ui.eu www.irs.gov.iz1lf2.eu www.irs.gov.iz1ff2.eu www.irs.gov.nuko7uy.eu www.irs.gov.nuko7ue.eu www.irs.gov.iz1pf2.eu www.irs.gov.poh7kio.eu www.irs.gov.ger11so.com www.irs.gov.iz1yf2.eu www.irs.gov.do11juy.eu www.irs.gov.nuko7uj.eu www.irs.gov.ijh7kio.eu www.irs.gov.fo11juy.eu www.irs.gov.to11juy.eu www.irs.gov.so11juy.eu www.irs.gov.nuko7ut.eu www.irs.gov.iz1if2.eu www.irs.gov.zuh7kio.eu www.irs.gov.iz1qf2.eu www.irs.gov.i11pte.eu www.irs.gov.ger11zo.com www.irs.gov.iz1fd2.eu www.irs.gov.hu1wev.eu www.irs.gov.nuko7up.eu www.irs.gov.iz1jf2.eu www.irs.gov.nuko7uo.eu www.irs.gov.uij7ym.eu www.irs.gov.xo11juy.eu www.irs.gov.ro11juy.eu www.irs.gov.nuko7uq.eu www.irs.gov.ger11sy.com www.irs.gov.awh7kio.eu www.irs.gov.nuko7u1.eu www.irs.gov.i11ete.eu www.irs.gov.uij7yz.eu www.irs.gov.ger11zy.com www.irs.gov.iz1tf2.eu www.irs.gov.uo11juy.eu www.irs.gov.iz1wf2.eu www.irs.gov.oo11juy.eu www.irs.gov.ger11si.com www.irs.gov.io11juy.eu www.irs.gov.ger11se.com www.irs.gov.jo11juy.eu www.irs.gov.ikh7kio.eu www.irs.gov.yoky1t.eu www.irs.gov.nuko7uh.eu www.irs.gov.nuko7ug.eu www.irs.gov.po11juy.eu www.irs.gov.ea1ash.eu www.irs.gov.nuko7uw.eu
by jyake