ZeuS/zbot 〜 iTunes Store 〜 ．info利用 〜　でも今はフクロウ先生、、、

「4SECONDS 4」まではLinkedInを騙ったタイプでしたが、iTunesを騙るタイプに変わりました。

そして「1.html」を添付するタイプはなくなり、誘導URLで「xxxxx.info」を利用するタイプに変わりました。

検出は9/29からで、一日あたりのユニークドメイン数はこんな感じ。

例。

 gbupiyzf.info
 rjezgcey.info
 twqwjreh.info
 nwueikhc.info
 aonmarbx.info
 lonclvio.info
 oqvpwxlg.info
 rssurzij.info
 wumobovq.info
 jveinacv.info
 aeukcplj.info
 gsrujzog.info
 qkmzkrcl.info
 rwjhythu.info
 xogleeyq.info
 kpuoxyeg.info
 urimcmew.info
 btdsbrcb.info
 gxnudzss.info
 kjbmpvrx.info
 sgkbeysn.info
 sjoykkap.info
 vldvjekw.info
 keutqbtr.info
 giumsvrm.info
 icgdevkz.info
 bmplrttb.info
 cqzstvyc.info
 efonhjdi.info
 fbharpqp.info
 fdxoqzcn.info
 fqkkoifa.info
 ihxhdcqg.info
 kigaobzc.info
 mgzvwflo.info
 oamidoeg.info
 pkrdbmdv.info
 snqauurq.info
 tfaachzg.info
 wxciedby.info
 xrpjlyng.info
 mpxmrvpc.info
 quztedzs.info
 czxqiwdr.info
 dydxtqaj.info
 etfkooip.info
 ffgloixm.info
 fnkmonmg.info
 gsogjlvg.info
 jgwlbdas.info
 kainstsj.info
 kdgbldae.info
 kgzoqutf.info
 oawjwqeg.info
 pncsckco.info
 qnehctdh.info
 rovumzec.info
 sfitgqoj.info
 tqdfqqvh.info
 vmndpkdi.info
 wrodghra.info
 ygemmndo.info
 zrsqtxkt.info
 ztniijqh.info
 iymfmxdd.info
 xghcwzlv.info
 yvplmjqu.info
 ztjincrv.info

ただしこれらの中で今現在でも利用可能なドメインは、対策済みでzeustrapのアドレスに変換されるようになってるようです。

 173.203.118.107
  
 107.118.203.173.in-addr.arpa domain name pointer ns1.zeustrap.info.

なので、一旦このような警告ページが表示されたあと

「フクロウ先生のフィッシング警告ページ」が表示されます。

「フクロウ先生のフィッシング警告ページ」とは、対策済みのフィッシングサイトの跡地にフィッシングに関する警告ページを表示させることで、そのサイトがフィッシングサイトだったことや、フィッシングメールに引っかかって誘導されてしまったことをユーザに認識させ、啓蒙するものですね。

詳しくはこちら。

　フクロウ先生の警告ページ - フィッシング対策協議会

ただし、まだまだ「.info」ドメインのバリエーションは増殖中…

[カテゴリ:spam観察日記]

by jyake