IRSを騙るスパム

 IRS (The Internal Revenue Service)＝アメリカ合衆国内国歳入庁

最近非常にたくさん捕捉してます。

以前からもあったようですが、前までは「税金還付が受けられます」というメールでフィッシングサイトに誘導して情報を抜くというタイプだったようですが、

今回は、下図のように「未報告/未払いの収入があるのでtaxステートメントをダウンロードして見なさい」というメールが届いて

こんな誘導URLが使われていて

 www.irs.gov.nuko7uw.eu/fraud_application/directory/statement.php? 
 email=xxx@xxx.xxx

アクセスするとこんなサイトで

 tax-statement-taxpayer_id_.exe

というファイル名のマルウェアをダウンロードさせられるタイプになっているようです。

(※今現在はうまくダウンロードできませんでした)

ドメインの例。

 Domain:	nuko7uw
 
 Registrant:
 	NOT DISCLOSED!
 	Visit www.eurid.eu for webbased whois.
 
 Registrar Technical Contacts:
	Name:	Support Team
	Organisation:	Domain The Net Technologies Ltd
	Language:	en
	Phone:	+97.237600500
	Fax:	+97.237600505
	Email:	admin@dtnt.com

はい、ボットを利用したフィッシングというかマルウェア配布サイトですね。

 ;www.irs.gov.nuko7uw.eu.                IN      A
 
 ;; ANSWER SECTION:
 www.irs.gov.nuko7uw.eu. 1800    IN      A       151.59.97.11
 www.irs.gov.nuko7uw.eu. 1800    IN      A       189.172.40.250
 www.irs.gov.nuko7uw.eu. 1800    IN      A       195.111.33.232
 www.irs.gov.nuko7uw.eu. 1800    IN      A       213.60.229.70
 www.irs.gov.nuko7uw.eu. 1800    IN      A       66.212.155.140
 www.irs.gov.nuko7uw.eu. 1800    IN      A       67.164.7.67
 www.irs.gov.nuko7uw.eu. 1800    IN      A       74.3.203.93
 www.irs.gov.nuko7uw.eu. 1800    IN      A       77.111.153.247
 www.irs.gov.nuko7uw.eu. 1800    IN      A       78.106.255.240
 www.irs.gov.nuko7uw.eu. 1800    IN      A       79.117.170.157
 www.irs.gov.nuko7uw.eu. 1800    IN      A       82.81.232.228
 www.irs.gov.nuko7uw.eu. 1800    IN      A       89.229.198.123
 www.irs.gov.nuko7uw.eu. 1800    IN      A       95.208.28.226
 www.irs.gov.nuko7uw.eu. 1800    IN      A       109.104.177.82
 www.irs.gov.nuko7uw.eu. 1800    IN      A       125.140.181.17
 
 ;; AUTHORITY SECTION:
 nuko7uw.eu.             1800    IN      NS      ns1.nakturgirl.com.
 nuko7uw.eu.             1800    IN      NS      ns2.nakturgirl.com.
 
 ;; ADDITIONAL SECTION:
 ns2.nakturgirl.com.     172800  IN      A       144.131.34.33
 ns1.nakturgirl.com.     172800  IN      A       207.126.161.29

参考まで、今日観測されたドメインだけ。

典型的な形ですね。

 www.irs.gov.veh7kio.eu
 www.irs.gov.qyh7kio.eu
 www.irs.gov.zah7kio.eu
 www.irs.gov.ger11sa.com
 www.irs.gov.mi11ff.eu
 www.irs.gov.mi11fa.eu
 www.irs.gov.iz1hf2.eu
 www.irs.gov.nuko7ur.eu
 www.irs.gov.ger11zi.com
 www.irs.gov.mah7kio.eu
 www.irs.gov.nuh7kio.eu
 www.irs.gov.nuko7uu.eu
 www.irs.gov.iz1rf2.eu
 www.irs.gov.iz1kf2.eu
 www.irs.gov.i11mte.eu
 www.irs.gov.iz1uf2.eu
 www.irs.gov.ger11za.com
 www.irs.gov.go11juy.eu
 www.irs.gov.nuko7uk.eu
 www.irs.gov.nuko7ui.eu
 www.irs.gov.iz1lf2.eu
 www.irs.gov.iz1ff2.eu
 www.irs.gov.nuko7uy.eu
 www.irs.gov.nuko7ue.eu
 www.irs.gov.iz1pf2.eu
 www.irs.gov.poh7kio.eu
 www.irs.gov.ger11so.com
 www.irs.gov.iz1yf2.eu
 www.irs.gov.do11juy.eu
 www.irs.gov.nuko7uj.eu
 www.irs.gov.ijh7kio.eu
 www.irs.gov.fo11juy.eu
 www.irs.gov.to11juy.eu
 www.irs.gov.so11juy.eu
 www.irs.gov.nuko7ut.eu
 www.irs.gov.iz1if2.eu
 www.irs.gov.zuh7kio.eu
 www.irs.gov.iz1qf2.eu
 www.irs.gov.i11pte.eu
 www.irs.gov.ger11zo.com
 www.irs.gov.iz1fd2.eu
 www.irs.gov.hu1wev.eu
 www.irs.gov.nuko7up.eu
 www.irs.gov.iz1jf2.eu
 www.irs.gov.nuko7uo.eu
 www.irs.gov.uij7ym.eu
 www.irs.gov.xo11juy.eu
 www.irs.gov.ro11juy.eu
 www.irs.gov.nuko7uq.eu
 www.irs.gov.ger11sy.com
 www.irs.gov.awh7kio.eu
 www.irs.gov.nuko7u1.eu
 www.irs.gov.i11ete.eu
 www.irs.gov.uij7yz.eu
 www.irs.gov.ger11zy.com
 www.irs.gov.iz1tf2.eu
 www.irs.gov.uo11juy.eu
 www.irs.gov.iz1wf2.eu
 www.irs.gov.oo11juy.eu
 www.irs.gov.ger11si.com
 www.irs.gov.io11juy.eu
 www.irs.gov.ger11se.com
 www.irs.gov.jo11juy.eu
 www.irs.gov.ikh7kio.eu
 www.irs.gov.yoky1t.eu
 www.irs.gov.nuko7uh.eu
 www.irs.gov.nuko7ug.eu
 www.irs.gov.po11juy.eu
 www.irs.gov.ea1ash.eu
 www.irs.gov.nuko7uw.eu

[カテゴリ:spam観察日記]

by jyake