Tag Archives: Symantec Protection Suites (SPS)

Contributor: Avhdoot Patil

Phishers have recently gained a lot of interest in football. Various phishing attacks using football were observed in 2012. Phishers have already shown their interest in the 2014 FIFA World Cup, football celebrities, and football clubs. Scam for LIONEL MESSI Fans and Scam for FC Barcelona are good examples of phishers using football celebrities and football clubs. Fraudsters understand that choosing celebrities with a huge fan base offers the largest amount of targets which could increase their chances of harvesting user credentials. In April 2013, the trend continued with phishers using the same strategy. The phishing sites were in French on a free web hosting site.

The phishing sites prompted users to enter their Facebook login credentials on pages designed to highlight Lionel Messi, FC Barcelona, or Cristiano Ronaldo. The phishing pages contained images of Lionel Messi, FC Barcelona, or Cristiano Ronaldo and tried to create the false impression that they were the official Facebook page for either Messi, FC Barcelona, or Ronaldo. Some of the fake sites were titled, “first social networking site in the world”. Users were prompted to enter their Facebook login credentials in order to connect to the Facebook page. After a user’s login credentials have been entered, users are redirected to a legitimate Lionel Messi, FC Barcelona, or Cristiano Ronaldo community page to create the illusion of a valid login. If users fell victim to the phishing site by entering their login credentials, phishers would have successfully stolen their information for identity theft purposes.
 

Figure 1. Fake Facebook phishing page featuring Lionel Messi
 

Figure 2. Fake Facebook phishing page featuring FC Barcelona
 

Figure 3. Fake Facebook phishing page featuring Cristiano Ronaldo
 

Internet users are advised to follow best practices to avoid phishing attacks:

• Do not click on suspicious links in email messages
• Do not provide any personal information when answering an email
• Do not enter personal information in a pop-up page or screen
• Ensure the website is encrypted with an SSL certificate by looking for the padlock, “https”, or the green address bar when entering personal or financial information
• Use comprehensive security software such as Norton Internet Security or Norton 360, which protects you from phishing scams and social network scams
• Exercise caution when clicking on enticing links sent through email or posted on social networks
• Report fake websites and email (for Facebook, send phishing complaints to phish@fb.com)

Symantec has observed an increase in spam messages containing .pw top-level domain (TLD) URLs.  While it was originally a country code top-level domain for Palau, it is now available to the general public through Directi, who branded it as “Professional Web”.
 

Figure 1. .pw TLD URL spam message increase
 

Looking back at the last 90 days, .pw ranked #16 on our TLD distribution list:
 

Figure 2. TLD distribution list – last 90 days
 

However, the .pw URL jumps to the fourth spot when looking at the last 7 days:
 

Figure 3. TLD distribution list – last 7 days
 

Examining messages found in the Global Intelligence Network, Symantec researchers have found that the vast majority of spam messages containing .pw URLs are hit-and-run (also known as snowshoe) spam. 

These are the top ten subject lines from .pw URL spam over the last two days:

• Subject: How to sell your Timeshare
• Subject: Reusable K Cup for Keurig or single-brew coffee maker
• Subject: Reusable single-brew coffee cup you can fill with your coffee blend.
• Subject: Are your home possessions covered in case of a  catastrophe?
• Subject: Elmo’s Learning Adventure Gift Package
• Subject: Make Learning Fun – With Elmo & the Sesame Street Gang!
• Subject: Are your appliances and home systems covered?
• Subject: Refinance Today, Save Tomorrow
• Subject: Nothing is more EFFECTIVE for High Blood Pressure
• Subject: Mortgage Rates

Figure 4. .pw URL spam message example
 

Symantec will continue to monitor this trend and create additional filters to target these attacks.  In addition, Symantec also advises enterprises and consumers to adopt the best practices found in the Symantec Intelligence Report.

寄稿: Avdhoot Patil

テルグ語の映画がフィッシング詐欺に利用されるケースが続発しており、フィッシングサイトで同様の映画がさかんに宣伝されています。映画『Brindavanam』を題材にしたフィッシングサイトもその一例ですが、最近では、テルグ語の映画『Saitan』の魅力的な楽曲がフィッシング詐欺の餌として利用されています。
 

このフィッシングサイトの左側には、テルグ人女優のサントーシュ・サムラート（Santosh Samrat）さんとスリランカ人女優のアカーシャ（Akarsha）さんが出演する映画『Saitan』の魅力的なミュージカルナンバーの画像が掲載されています。この画像は、この映画の公式サイトから取られたものです。サイトのタイトルは「Samantha & Kajal Very Hot Song」（サマンサとカジャルの超ホットなナンバー）になっていますが、当の 2 人は映画に出演していません。フィッシング詐欺師たちは、有名女優である Samantha（サマンサ）さんと Kajal（カジャル）さんの人気を利用して、大量のファンを集めようとしたのです。

さらにこのページでは、ユーザーにログイン情報の入力を促し、ログインすればビデオが見られると謳っています。ログイン情報を入力すると、映画の公式サイトが表示されますが、そこで流れるのはナーガ・チャイタニヤ（Naga Chaitanya）さんとサマンサ・ルース・プラブ（Samantha Ruth Prabhu）さんが出演する別の映画『Ye Maya Chesave』の別の曲です。

親しみやすいミュージカルナンバーと誤解を招くような有名人の名前を使っていることから、フィッシング詐欺師は、多くのユーザーを集めれば、それだけ多くの個人情報を盗み出せると考えたに違いありません。この手口に乗ってログイン情報を入力したユーザーは、個人情報を盗まれ、なりすまし犯罪に使われてしまいます。今回のフィッシングサイトのホストサーバーは、カナダのモントリオールに置かれていました。

インターネットを利用する場合は、フィッシング攻撃を防ぐためにできる限りの対策を講じることを推奨します。

• 電子メールメッセージの中の疑わしいリンクはクリックしない
• 電子メールに返信するときに個人情報を記述しない
• ポップアップページやポップアップ画面に個人情報を入力しない
• 個人情報や口座情報を入力する際には、鍵マーク、「https」の文字、緑色のアドレスバーなどが使われていることを確かめ、その Web サイトが SSL で暗号化されていることを確認する
• ノートン インターネットセキュリティなど、オンラインフィッシングを防止するセキュリティソフトウェアを頻繁に更新する

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Contributor: Avdhoot Patil

Promotion for Telugu movies has gained momentum in the world of phishing as they continue to be targeted with phishing scams. The phishing site featuring the movie “Brindavanam” is one example. In a more recent case, phishers used a captivating song from the Telugu movie, “Saitan” as bait.
 

The phishing site displayed a picture from a captivating musical number from the movie “Saitan” starring Telugu actress, Santosh Samrat, and Sri Lankan film and teledrama actress, Akarsha, on the left side of the phishing page. The picture from the musical number was taken from the legitimate movie website. The phishing site was titled, “Samantha & Kajal Very Hot Song” but in fact, these celebrities were not a part of this movie. Phishers used the popularity of these celebrities to attract large numbers of Samantha and Kajal fans.

The phishing page then encouraged users to enter their login credentials and stated that after logging in, they could watch the video. After a user’s login credentials were entered, users were redirected to the legitimate movie website which featured a different song from a different movie, “Ye Maya Chesave”, starring Naga Chaitanya and Samantha Ruth Prabhu.

Due to the intimate nature of the musical number and the use of misleading names, phishers were probably hoping for a large audience, increasing the number of user credentials they could steal. If users fell victim to the phishing site by entering their login credentials, phishers would have successfully stolen their information for identity theft purposes. The phishing site was hosted on a server based in Montreal, Canada.

Internet users are advised to follow best practices to avoid phishing attacks:

• Do not click on suspicious links in email messages
• Do not provide any personal information when answering an email
• Do not enter personal information in a pop-up page or screen
• Ensure the website is encrypted with an SSL certificate by looking for the padlock, “https”, or the green address bar when entering personal or financial information
• Update your security software frequently (such as Norton Internet Security which protects you from online phishing)

寄稿: Avdhoot Patil

アラブ諸国の各地で最近勃発している紛争は、しばらく前からフィッシング詐欺師の関心を引いています。シリア騒乱を悪用したフィッシング詐欺もその一例ですが、今度は、反政府運動が続くエジプトの政情不安が利用されています。2013 年 3 月には、フィッシングサイトでエジプトのアフマド・シャフィーク元首相が利用されました。フィッシングサイトのホストサーバーは米国ノースカロライナ州に置かれ、ドメイン名には「Ahmed Shafik」の名が使われていました。

図 1. アフマド・シャフィーク元首相の公式サイトに偽装したフィッシングサイト

このフィッシングサイトは、一見すると元首相の公式ページのような作りです。アラビア語で書かれたメッセージは、アフマド・シャフィーク元首相に関する最新ニュースを購読するために、2 つのブランドのいずれかを選択するよう促しています。ここで利用されているのは、あるソーシャルネットワークサービスと情報サービスで、どちらかのロゴをクリックすると、ユーザーはそれぞれのログインページに偽装したフィッシングサイトにリダイレクトされます。フィッシングページのコンテンツは、元首相を応援する内容に改変されています。このフィッシングサイトに騙されたユーザーは、個人情報を盗まれてしまいます。

フィッシング攻撃を防ぐためにできる限りの対策を講じることを推奨します。

• 電子メールメッセージの中の疑わしいリンクはクリックしない。
• 電子メールに返信するときに個人情報を記述しない。
• ポップアップページやポップアップ画面に個人情報を入力しない。
• 個人情報や口座情報を入力する際には、鍵マーク、「https」の文字、緑色のアドレスバーなどが使われていることを確かめ、その Web サイトが SSL で暗号化されていることを確認する。
• ノートン インターネットセキュリティなど、オンラインフィッシングを防止するセキュリティソフトウェアを頻繁に更新する。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Contributor: Avdhoot Patil
Phishers have already shown interest in the violence that erupted recently in various parts of the Arab world. The phishing attack involving Syria is a good example. Phishers are now taking advantage of the political unrest i…

寄稿: Avdhoot Patil

インド映画は、依然としてフィッシング詐欺に好んで利用されています。インド映画『Bodyguard』を題材にしたフィッシングサイトはその一例でしたが、今月に入ってからもシマンテックは、テルグ語の映画『Brindavanam』を餌にしたフィッシング攻撃を確認しました。

このフィッシングサイトの左側には、女優のサマンサ（Samantha）さんとカジャル・アガルワル（Kajal Aggarwal）さんの出演する映画『Brindavanam』のミュージカルナンバーの画像が掲載されています。画像の下には映画のあらすじも紹介されており、ログインすればビデオを視聴できると称して、ログイン情報を入力するように要求します。ミュージカルナンバーの画像は、この映画の公式サイトから取られたものでした。ログイン情報を入力すると、ユーザーは映画の公式サイトにリダイレクトされ、そこでも同じビデオが紹介されています。フィッシング詐欺師は、ミュージカルナンバーと有名キャストの人気にあやかって多くのユーザーを集めれば、それだけ多くの個人情報を盗み出せると考えたに違いありません。

映画の公式サイトにリダイレクトさせるのは、有効なログイン処理が実行されたとユーザーに信じ込ませるための手口です。この手口に乗ってログイン情報を入力したユーザーは、個人情報を盗まれ、なりすまし犯罪に使われてしまいます。今回のフィッシングサイトのホストサーバーは、カナダのモントリオールに置かれていました。

フィッシング攻撃を防ぐためにできる限りの対策を講じることを推奨します。

• 電子メールメッセージの中の疑わしいリンクはクリックしない。
• 電子メールに返信するときに個人情報を記述しない。
• ポップアップページやポップアップ画面に個人情報を入力しない。
• 個人情報や口座情報を入力する際には、鍵マーク、「https」の文字、緑色のアドレスバーなどが使われていることを確かめ、その Web サイトが SSL で暗号化されていることを確認する。
• ノートン インターネットセキュリティなど、オンラインフィッシングを防止するセキュリティソフトウェアを頻繁に更新する。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

寄稿: Christopher Mendes

2013 年 4 月 15 日、多数の参加者が自己の限界に挑みながら完走を目指していたボストンマラソンを卑劣な行為が襲いました。ゴール付近で 2 度の爆発事件が発生したのです。事件が起きてからわずか数時間のうちに、マルウェアが仕組まれた大量のスパムメールが出回りはじめました。

シマンテックは、スパム対策、侵入防止システム（IPS）、ウイルス対策を使う多層型の検出技術で攻撃を遮断しており、シマンテック製品をお使いのお客様はこの攻撃から保護されています。ウイルス対策は、ダウンロードされるファイルを Packed.Generic.402 として検出し、IPS はこの攻撃を Web Attack: Red Exploit Kit Website として検出します。

スパムメール自体はごく単純なものです。メッセージ本文には、[削除済み]/news.html または [削除済み]/boston.html へのリンクが記載されています。

図 1. スパムメールのサンプル

リンクをクリックすると、図 2 のように感染した Web ページが開きます。この Web ページには、事件現場を収めた一連のビデオが表示されています。ページの最後には、読み込み途中のビデオがあり、Red 悪用ツールキットにリンクされています。これが、ユーザーのコンピュータ上でさまざまな脆弱性を悪用します。悪用に成功すると、boston.avi_______.exe というファイルのダウンロードするよう求めるポップアップが表示されます。

図 2. 感染した Web サイト

スパムメールメッセージには、以下のような件名が使われています。

• 件名: 2 Explosions at Boston Marathon（ボストンマラソンで 2 度の爆発）
• 件名: Explosion at Boston Marathon（ボストンマラソンで爆発）
• 件名: Explosion at the Boston Marathon（ボストンマラソンで爆発）
• 件名: Boston Explosion Caught on Video（ビデオがとらえたボストンマラソン爆発の瞬間）
• 件名: Boston attack Aftermath（ボストン爆発事件の余波）
• 件名: Boston Aftermath（ボストンのその後）

図 3. ボストンマラソンを悪用するスパムメールの件数

スパマーの意図は、当然ながら爆発事件に関するビデオや情報を共有することではなく、今回の惨劇を悪用してマルウェアを拡散することにあります。

このような卑劣な手段には、引っかからないようにしてください。メールメッセージに記載されている疑わしいリンクはクリックせず、セキュリティソフトウェアを常に最新の状態に更新しておくことをお勧めします。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。