Tag Archives: Messaging Gateway

Escrow Scams Searching New Avenues

Contributor:  Binny Kuriakose
People dream big when buying expensive items like a car or a property. When those dreams are seen with very affordable price tags it certainly attracts everybody’s interest. There are lots of websites available …

Spammers Continue to Exploit Mother’s Day

Mother’s Day is celebrated in many countries on May 12 and it’s a day for children, regardless of age, to express their love to their mother by giving her a gift. Spam messages related to Mother’s Day have begun flowing into the Symantec Probe Network. Clicking the URL contained in the spam message automatically redirects the recipient to a website containing a bogus Mother’s Day offer upon completion of a fake survey.

mothers 1.png

Figure 1: Survey spam targeting Mother’s Day

Once the survey is completed, a page is then displayed asking the user to enter their personal information in order to receive the bogus offer.

mothers 2.png

Figure 2: Fake survey

 

mothers 3.png

Figure 3: Bogus Web page asking for personal information

We recently blogged about the persistence of spam with .pw URLs and not surprisingly a lot of the Mother’s Day spam messages contain .pw top-level domain (TLD) URLs. The following are some examples of the From header using .pw URLs that we have identified to date:

  • From: Mother’s Day Gifts <Check@[REMOVED].pw>
  • From: “Early Bird Mother’s Day Flowers” <postmaster@[REMOVED].pw>
  • From: “Early Bird Mother’s Day Bouquets” <noreply@[REMOVED].pw>
  • From: “Mother’s Day Bouquets” <MothersDayBouquets@[REMOVED].pw>
  • From: “Mom” <Mom@[REMOVED].pw>

 

mothers 4.png

Figure 4: Another dodgy website related to Mother’s Day

Symantec is observing an increase in spam volume related to Mother’s Day, which can be seen in the following graph.

mothers 5.png

Figure 5: Volume of Mother’s Day spam

The following are some of the Subject lines observed for these spam attacks:

  • Subject: Don’t Forget Mother’s Day – $19.99 Chocolate, Dipped Strawberries
  • Subject: Stunning Personalized Gifts for Mother’s Day
  • Subject: Top Personalized Mother’s Day Gifts
  • Subject: Make Mother’s Day Special With A Personalized Gift
  • Subject: Mother’s Day Car Deal (Half Off Every Make And Model)
  • Subject: Regarding Mothers Day
  • Subject: Celebrate Mom with a $19.99 bouquet.
  • Subject: Mother’s Day Replica’s Women’s Accessories
  • Subject: Mother’s Day Secret Formula.

Symantec advises our readers to use caution when receiving unsolicited or unexpected emails. We are closely monitoring Mother’s Day spam attacks to ensure that readers are kept up to date with information on the latest threats.

Have a safe and happy Mother’s Day!

.pw URLs in Spam Keep Showing Up

Last week, Symantec posted a blog on an increase in spam messages with .pw URLs. Since then, spam messages with .pw URLs have begun showing up even more.
 

pw TLD blog update.png

Figure 1. .pw TLD spam message increase
 

Symantec conducted some analysis into where these attacks are coming from in terms of IP spaces. As expected, Symantec observed a large quantity of mail being sent from an IP range and then moving to another IP range. While this is an expected behavior, there was an interesting twist. There were multiple companies (with different names) hosting .pw spammers using the same physical address in Nevada. 

Examining messages found in the Global Intelligence Network, Symantec researchers have found that the vast majority of spam messages containing .pw URLs are hit-and-run (also known as snowshoe) spam. The top 25 subject lines from .pw URL spam from May 1, 2013 were:

  • Subject: For all the moms in your life on Mother’s Day.
  • Subject: Tax Relief Notification
  • Subject: Remove IRS Tax Penalties
  • Subject: Save on the most beautiful bouquets for Mom
  • Subject: Reusable K Cup for Keurig or single-brew coffee maker
  • Subject: Garden Today says, “By far the easiest hose to use”
  • Subject: HOME: Amazingly Strong water hose you can fit anywhere.
  • Subject: The LAST water hose you’ll ever need
  • Subject: No Hassle Pricing on Ford Vehicles
  • Subject: Own a NEW Ford for the Summer
  • Subject: May 1st Ford Clearance Event
  • Subject: Lasik- Safe, Easy, and Affordable
  • Subject: Safe, Easy, and Affordable Lasik
  • Subject: We work with the Biggest and Best Brands in Fashion
  • Subject: Whos the hottest? Post . Vote . Win
  • Subject: Are You and Your Business seen at a global scale?
  • Subject: Power your entire House, Pool and more with Solar Energy
  • Subject: Most EFFECTIVE way to treat Hypertension
  • Subject: Solar power slashes your electric bill in half
  • Subject: Global Business Registry for Networking Professionals
  • Subject: Finally, an EFFECTIVE fat shredding solution
  • Subject: Register with other professionals
  • Subject: Easiest Way To Lower Blood Pressure
  • Subject: Secret To Lowering Blood Pressure Naturally
  • Subject: Refinance Today, Save Tomorrow

In addition to creating anti-spam filters as needed, Symantec has been in contact with Directi and working with the registrar to report and take down the .pw domains associated with spam. Symantec believes that collaborating with the registrar is a more progressive and holistic approach to solving this problem.

The Hexadecimal URL Obfuscation Resurgence

For that past several days, Symantec has observed an increase in spam messages containing hexadecimal obfuscated URLs. Hexadecimal character codes are simply the hexadecimal number to letter representation for the ASCII character set. To a computer, he…

?????????????????

      No Comments on ?????????????????

寄稿: Avhdoot Patil

フィッシング詐欺の世界では最近も変わらず、サッカーが大人気のようです。2012 年にも、サッカーを利用したさまざまなフィッシング攻撃が確認されましたが、フィッシング詐欺師は早くも 2014 年の FIFA ワールドカップに熱い視線を注ぎ、有名選手やサッカークラブを狙っています。リオネル・メッシ選手のファンを狙った詐欺や、FC バルセロナを利用した詐欺は、そういったフィッシングの一例です。たくさんのファンが付いている有名選手を利用すれば、標的も膨大な数にのぼり、結果的に個人情報を収集できるチャンスも大きくなることを詐欺師は知っています。2013 年 4 月にもこの傾向は続き、同じようなフィッシング詐欺の手口が横行しています。今回のフィッシングサイトは、フランスにある無料の Web ホスティングサイトを利用していました。

このフィッシングサイトでは Facebook のログイン情報を入力するよう要求します。ページにはリオネル・メッシ選手、FC バルセロナ、あるいはクリスティアーノ・ロナウド選手が目立つようにデザインされています。フィッシングページには彼らの画像が掲載され、いずれかの正規の Facebook ページであるかのような印象を与えます。なかには、「first social networking site in the world(世界で最初のソーシャルネットワークサイト)」というタイトルの偽サイトまでありました。ユーザーは、Facebook ページにアクセスするために Facebook のログイン情報を入力するよう求められます。ログイン情報を入力すると、ログインが有効であると思い込ませるようにリオネル・メッシ選手、FC バルセロナ、またはクリスティアーノ・ロナウド選手の正規のコミュニティページにリダイレクトされます。この手口に乗ってログイン情報を入力したユーザーは、個人情報を盗まれ、なりすまし犯罪に使われてしまいます。
 

Fraudsters Repeatedly 1.jpeg

図 1. リオネル・メッシ選手の画像が掲載された偽の Facebook ページ
 

Fraudsters Repeatedly 2.jpeg

図 2. FC バルセロナの画像が掲載された偽の Facebook ページ
 

Fraudsters Repeatedly 3.jpeg

図 3. クリスティアーノ・ロナウド選手の画像が掲載された偽の Facebook ページ
 

インターネットを利用する場合は、フィッシング攻撃を防ぐためにできる限りの対策を講じることを推奨します。

  • 電子メールメッセージの中の疑わしいリンクはクリックしない。
  • 電子メールに返信するときに個人情報を記述しない。
  • ポップアップページやポップアップ画面に個人情報を入力しない。
  • 個人情報や口座情報を入力する際には、鍵マーク、「https」の文字、緑色のアドレスバーなどが使われていることを確かめ、その Web サイトが SSL で暗号化されていることを確認する。
  • ノートン インターネットセキュリティやノートン 360 など、フィッシング詐欺およびソーシャルネットワーク詐欺から保護する統合セキュリティソフトウェアを使う。
  • 電子メールで送られてきたリンクや、ソーシャルネットワークに掲載されているリンクがどんなに魅力的でも不用意にクリックしない。
  • 偽の Web サイトや電子メールを見かけたら報告する(Facebook の場合、フィッシング報告の送信先は phish@fb.com)。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

URL ? .pw ??????????????

      No Comments on URL ? .pw ??????????????

シマンテックは、URL のトップレベルドメイン(TLD)に .pw が含まれるスパムメッセージの増加を確認しています。元々はパラオを表す国別コードトップレベルドメインでしたが、現在は Directi 社を通じて、「Professional Web」を意味するドメインとして誰でも利用できます。
 

pw tld blog 1.png

図 1. TLD が .pw のスパムメッセージが急増
 

まず過去 90 日間の状況を見てみると、.pw は TLD 別の分布リストで 16 位でした。
 

pw tld blog 2_0.png

図 2. 過去 90 日間の TLD 別の分布リスト
 

ところが、直近の 7 日間を見ると、.pw を含む URL が 4 位に急上昇しています。
 

pw tld blog 3.png

図 3. 過去 7 日間の TLD 別の分布リスト
 

Global Intelligence Network で見つかったメッセージを調べたところ、URL に .pw を含むスパムメッセージの大多数は一撃離脱タイプのスパム(「かんじきスパム」とも呼ばれます)であることが判明しました。

.pw を含む URL スパムについて、過去 2 日間の上位 10 件の件名は以下のとおりです。

  • 件名: How to sell your Timeshare(タイムシェアを売る方法)
  • 件名: Reusable K Cup for Keurig or single-brew coffee maker(キューリグのシングルカップコーヒーメーカー用、再利用可能な K-Cup)
  • 件名: Reusable single-brew coffee cup you can fill with your coffee blend.(再利用可能なシングルブリューコーヒーカップで、自分だけのブレンドを)
  • 件名: Are your home possessions covered in case of a  catastrophe?(大災害のそのとき、あなたの家の保障は大丈夫?)
  • 件名: Elmo’s Learning Adventure Gift Package(エルモの学習アドベンチャーギフトパック)
  • 件名: Make Learning Fun – With Elmo & the Sesame Street Gang!(お勉強が楽しくなる – エルモとセサミストリートの仲間たちが一緒!)
  • 件名: Are your appliances and home systems covered?(電化製品やホームシステムは保障されていますか?)
  • 件名: Refinance Today, Save Tomorrow(今すぐ借り換え、明日のために)
  • 件名: Nothing is more EFFECTIVE for High Blood Pressure(高血圧に最高の効果)
  • 件名: Mortgage Rates(住宅ローン金利)

pw tld blog 4.png

図 4. .pw を含むスパムメッセージの例
 

シマンテックでは、引き続きこの傾向を監視し、こういった攻撃を絞り込むためのフィルタの作成を続ける予定です。また、企業や個人ユーザーの皆さまは、シマンテックインテリジェンスレポートに掲載されている基本的なセキュリティ対策(ベストプラクティス)を実施するようお勧めします。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Fraudsters Continue to Show Interest in Football

Contributor: Avhdoot Patil

Phishers have recently gained a lot of interest in football. Various phishing attacks using football were observed in 2012. Phishers have already shown their interest in the 2014 FIFA World Cup, football celebrities, and football clubs. Scam for LIONEL MESSI Fans and Scam for FC Barcelona are good examples of phishers using football celebrities and football clubs. Fraudsters understand that choosing celebrities with a huge fan base offers the largest amount of targets which could increase their chances of harvesting user credentials. In April 2013, the trend continued with phishers using the same strategy. The phishing sites were in French on a free web hosting site.

The phishing sites prompted users to enter their Facebook login credentials on pages designed to highlight Lionel Messi, FC Barcelona, or Cristiano Ronaldo. The phishing pages contained images of Lionel Messi, FC Barcelona, or Cristiano Ronaldo and tried to create the false impression that they were the official Facebook page for either Messi, FC Barcelona, or Ronaldo. Some of the fake sites were titled, “first social networking site in the world”. Users were prompted to enter their Facebook login credentials in order to connect to the Facebook page. After a user’s login credentials have been entered, users are redirected to a legitimate Lionel Messi, FC Barcelona, or Cristiano Ronaldo community page to create the illusion of a valid login. If users fell victim to the phishing site by entering their login credentials, phishers would have successfully stolen their information for identity theft purposes.
 

Fraudsters Repeatedly 1.jpeg

Figure 1. Fake Facebook phishing page featuring Lionel Messi
 

Fraudsters Repeatedly 2.jpeg

Figure 2. Fake Facebook phishing page featuring FC Barcelona
 

Fraudsters Repeatedly 3.jpeg

Figure 3. Fake Facebook phishing page featuring Cristiano Ronaldo
 

Internet users are advised to follow best practices to avoid phishing attacks:

  • Do not click on suspicious links in email messages
  • Do not provide any personal information when answering an email
  • Do not enter personal information in a pop-up page or screen
  • Ensure the website is encrypted with an SSL certificate by looking for the padlock, “https”, or the green address bar when entering personal or financial information
  • Use comprehensive security software such as Norton Internet Security or Norton 360, which protects you from phishing scams and social network scams
  • Exercise caution when clicking on enticing links sent through email or posted on social networks
  • Report fake websites and email (for Facebook, send phishing complaints to phish@fb.com)

Rise of .pw URLs in Spam Messages

      No Comments on Rise of .pw URLs in Spam Messages

Symantec has observed an increase in spam messages containing .pw top-level domain (TLD) URLs.  While it was originally a country code top-level domain for Palau, it is now available to the general public through Directi, who branded it as “Professional Web”.
 

pw tld blog 1.png

Figure 1. .pw TLD URL spam message increase
 

Looking back at the last 90 days, .pw ranked #16 on our TLD distribution list:
 

pw tld blog 2_0.png

Figure 2. TLD distribution list – last 90 days
 

However, the .pw URL jumps to the fourth spot when looking at the last 7 days:
 

pw tld blog 3.png

Figure 3. TLD distribution list – last 7 days
 

Examining messages found in the Global Intelligence Network, Symantec researchers have found that the vast majority of spam messages containing .pw URLs are hit-and-run (also known as snowshoe) spam. 

These are the top ten subject lines from .pw URL spam over the last two days:

  • Subject: How to sell your Timeshare
  • Subject: Reusable K Cup for Keurig or single-brew coffee maker
  • Subject: Reusable single-brew coffee cup you can fill with your coffee blend.
  • Subject: Are your home possessions covered in case of a  catastrophe?
  • Subject: Elmo’s Learning Adventure Gift Package
  • Subject: Make Learning Fun – With Elmo & the Sesame Street Gang!
  • Subject: Are your appliances and home systems covered?
  • Subject: Refinance Today, Save Tomorrow
  • Subject: Nothing is more EFFECTIVE for High Blood Pressure
  • Subject: Mortgage Rates

pw tld blog 4.png

Figure 4. .pw URL spam message example
 

Symantec will continue to monitor this trend and create additional filters to target these attacks.  In addition, Symantec also advises enterprises and consumers to adopt the best practices found in the Symantec Intelligence Report.

??????????????????????????

      No Comments on ??????????????????????????

寄稿: Avdhoot Patil

フィッシング詐欺師は、混迷の続くシリア情勢を依然として悪用しています。メッセージは書き換えられていますが、使われているのは定番のフィッシング用テンプレートです。3 月には、以前のフィッシングサイトで確認されたのと同じ、湾岸諸国の組織の Web サイトが偽装されました。ただし、偽装の内容は、シリアの反対運動を支持するものではなく、シリア国民を支援する国連の計画です。フィッシングページはアラビア語で書かれており、サイトは米国のテキサス州ダラスに置かれたサーバーでホストされていました。

つい最近も、フィッシング詐欺師はシリア現政権を糾弾してユーザーを誘導しようとしましたが、今回は特に、バッシャール・アル・アサド大統領が利用されています。シマンテックが確認したフィッシングサイトには、シリア大統領を戦争犯罪人として糾弾することに賛同するよう求めるメッセージが、アラビア語で書かれています。そこに、賛同するか賛同しないかを投票するオプションがあり、投票できるのは 1 回だけという注意書きまでありました。
 

image1.jpeg

図 1. バッシャール・アル・アサド大統領の糾弾に賛同するかどうかの投票
 

賛同するオプションを選択すると、次のページでは、投票を送信して有効票として認識させるために、4 種類の電子メールサービスプロバイダから 1 つを選択するよう求められます。
 

image2.jpeg

図 2. 投票するために電子メールサービスプロバイダを選択
 

いずれかを選択すると、その電子メールサービスプロバイダのログインページに偽装したフィッシングページにリダイレクトされます。ログイン情報を入力すると、フィッシングページから確認ページにリダイレクトされ、投票が正常に処理されたことと、結果が 2013 年 4 月 5 日に発表されることが伝えられます。不幸にも、このフィッシングサイトに騙されたユーザーは、個人情報を盗まれ、なりすまし犯罪に使われてしまいます。
 

image3.jpeg

図 3. 投票の確認ページ
 

フィッシング攻撃を防ぐためにできる限りの対策を講じることを推奨します。

  • 電子メールメッセージの中の疑わしいリンクはクリックしない。
  • 電子メールに返信するときに個人情報を記述しない。
  • ポップアップページやポップアップ画面に個人情報を入力しない。
  • 個人情報や口座情報を入力する際には、鍵マーク、「https」の文字、緑色のアドレスバーなどが使われていることを確かめ、その Web サイトが SSL で暗号化されていることを確認する。
  • ノートン インターネットセキュリティなど、オンラインフィッシングを防止するセキュリティソフトウェアを頻繁に更新する。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Phishers Campaign for More Votes Against Syrian Regime

Contributor: Avdhoot Patil
Phishers are not letting go of the chaos in Syria. They are using a common phishing template and modifying the messages. In March, phishers mimicked the same website of an organization in the Arab Gulf States observed in a pr…