Tax Payment Failed - mail.htm

観測日： 2012/6/15

通数： 200通/day

手法： 誘導URL型

目的： マルウェア感染,広告誘導

特徴：

サイトに設置されるスクリプトファイルのファイル名が「mail.htm」

時期にあわせて定期的に流行るTax Payment Failed系。

Fromが最近多いLinkedIn。

• CVE-2010-1885
• CVE-2012-0507

文面

URLはこんな感じ。

 ｈttp://admissions.frenzet.net/mail.htm
 ｈttp://atimonan.org/mail.htm
 ｈttp://bdbm.fr/zenphoto/zp-core/zp-extensions/tiny_mce/plugins/ajaxfilemanager/inc/mail.htm
 ｈttp://chaisen.me/mail.htm
 ｈttp://dogreat.cn/mail.htm
 ｈttp://events.sdr.co.za/zp-core/zp-extensions/tiny_mce/plugins/ajaxfilemanager/inc/mail.htm
 ｈttp://firstimagedemo.com/miami/admin/images/mail.htm
 ｈttp://hieutran.us/zp-core/plugins/tiny_mce/plugins/ajaxfilemanager/inc/mail.htm
 ｈttp://hypnosis.plrproducts-kabineti.com/mail.htm
 ｈttp://lenkasony.ru/mail.htm
 ｈttp://let-flo-in-australia.fr/mail.htm
 ｈttp://mainemates.com/mail.htm
 ｈttp://owhstudios.org/mail.htm
 ｈttp://pictures.iwantallama.info/mail.htm
 ｈttp://qualitycounter.com/fckeditor/editor/plugins/ajaxfilemanager/inc/mail.htm
 ｈttp://s2.zufall.nu/photo/zp-core/zp-extensions/tiny_mce/plugins/ajaxfilemanager/inc/mail.htm
 ｈttp://takeofftrading.com/images/mail.htm
 ｈttp://vipsites.marketplace-kabineti.com/mail.htm
 ｈttp://wesotech.com/mail.htm
 ｈttp://www.basarkoleji.k12.tr/kadro/mail.htm
 ｈttp://www.charlotteforest.fr/book/zp-core/plugins/tiny_mce/plugins/ajaxfilemanager/inc/mail.htm
 ｈttp://www.clinicaodontec.com.br/mail.htm
 ｈttp://www.diningallegheny.com/js_scripts/tinymce/jscripts/tiny_mce/plugins/ajaxfilemanager/inc/mail.htm
 ｈttp://www.eqmuse.com/mail.htm
 ｈttp://www.hoteleczechy.pl/02eed88a2333db92e80148ff459f86d5/mail.htm
 ｈttp://www.manushi.in/tinymce/jscripts/tiny_mce/plugins/ajaxfilemanager/inc/mail.htm
 ｈttp://www.marikbreton.com/zp-core/plugins/tiny_mce/plugins/ajaxfilemanager/inc/mail.htm
 ｈttp://www.npftin.ru/mail.htm
 ｈttp://www.sudas.com.cn/mail.htm
 ｈttp://www.weissmueller-fotografie.de/RW/zen_v2/zp-core/zp-extensions/tiny_mce/plugins/ajaxfilemanager/inc/mail.htm

リダイレクトスクリプトファイルを設置されているサイトはこのような感じ。だいたいおなじ顔ぶれの国とAS？

そこから飛ばされる本体サイトの方はこのような感じ。

 domain:        SUMATRANAJUGE.RU
 nserver:       ns1.sumatranajuge.ru. 62.213.64.161
 nserver:       ns2.sumatranajuge.ru. 62.76.189.62
 nserver:       ns3.sumatranajuge.ru. 85.214.204.32
 nserver:       ns4.sumatranajuge.ru. 50.57.88.200
 nserver:       ns5.sumatranajuge.ru. 41.66.137.155
 nserver:       ns6.sumatranajuge.ru. 50.57.43.49
 state:         REGISTERED, DELEGATED, UNVERIFIED
 person:        Private Person
 registrar:     NAUNET-REG-RIPN
 admin-contact: https://client.naunet.ru/c/whoiscontact
 created:       2012.06.05
 paid-till:     2013.06.05
 free-date:     2013.07.06
 source:        TCI

[カテゴリ:spam観察日記]

by jyake