不正URLへのアクセス、不正メールの受信

メール受信した
弊社お客様0社 URLアクセスした
弊社お客様10社

2023/06/29
※2023/06/29 更新
マルウェア感染させると考えられるURLを検知（2023/06/29）

■IoC（※1）



Type:
IOC:
Signature:


URL
hxxp://79[.]110[.]49[.]21/papizx[.]exe
hxxp://79[.]110[.]49[.]21/plugmanzx[.]exe
Remcos


URL
hxxp://79[.]110[.]49[.]21/kudizx[.]exe
hxxp://79[.]110[.]49[.]21/gvailantzx[.]exe
hxxp://79[.]110[.]49[.]21/chamberszx[.]exe
hxxp://194[.]180[.]48[.]58/pmexzx[.]exe
hxxp://79[.]110[.]49[.]21/dollzx[.]exe
hxxp://23[.]95[.]122[.]102/53/iccu[.]exe
hxxp://79[.]110[.]49[.]21/pmexzx[.]exe
Agent Tesla


URL
hxxp://79[.]110[.]49[.]21/thirdagodzx[.]exe
hxxp://79[.]110[.]49[.]21/thirdagodzx[.]doc
hxxp://79[.]110[.]49[.]21/defounderzx[.]exe
hxxp://79[.]110[.]49[.]21/owenzx[.]exe
Formbook


URL
hxxp://77[.]91[.]68[.]63/doma/net/Plugins/cred64[.]dll
Amadey


URL
hxxps://callusoyasociados[.]com[.]ar/Bar0627SetUp[.]exe
hxxps://callusoyasociados[.]com[.]ar/Lyla0627SetUp[.]exe
hxxp://95[.]214[.]27[.]98/lend/TopSofts[.]Setup[.]exe
hxxp://95[.]214[.]27[.]98/lend/1Top[.]exe
RedLine Stealer


URL
hxxp://79[.]137[.]206[.]248/838d8918a5621059[.]php
hxxp://79[.]137[.]206[.]248/d210652e231a5729/freebl3[.]dll
hxxp://79[.]137[.]206[.]248/d210652e231a5729/nss3[.]dll
hxxp://79[.]137[.]206[.]248/d210652e231a5729/msvcp140[.]dll
hxxp://79[.]137[.]206[.]248/d210652e231a5729/mozglue[.]dll
hxxp://79[.]137[.]206[.]248/d210652e231a5729/vcruntime140[.]dll
hxxp://79[.]137[.]206[.]248/d210652e231a5729/softokn3[.]dll
hxxp://79[.]137[.]206[.]248/d210652e231a5729/sqlite3[.]dll
Stealc


URL
hxxp://161[.]35[.]102[.]56/~nikol/?p=7773732
hxxp://tetiquila[.]me/sirmomo/five/fre[.]php
LokiBot


URL
hxxp://84[.]54[.]50[.]31/D/mo[.]exe
hxxp://84[.]54[.]50[.]31/D/nanobtd[.]exe
Nanocore RAT


URL
hxxp://43[.]139[.]147[.]95:8888/pixel[.]gif
hxxp://120[.]194[.]218[.]94:8082/visit[.]js
hxxp://3[.]14[.]130[.]179/updates[.]rss
hxxp://8[.]219[.]185[.]16:81/visit[.]js
hxxps://8[.]134[.]122[.]165/pixel[.]gif
hxxp://173[.]82[.]225[.]34:19999/jquery-3[.]3[.]1[.]min[.]woff2
hxxp://39[.]99[.]242[.]16/updates[.]rss
hxxp://43[.]139[.]221[.]182:10000/__utm[.]gif
hxxp://82[.]157[.]195[.]150/dpixel
hxxp://150[.]230[.]201[.]17/dpixel
hxxp://c2listx[.]beauty:2095/api/3
hxxp://47[.]104[.]181[.]189:8088/activity
hxxp://38[.]55[.]189[.]201:8188/activity
hxxp://47[.]92[.]128[.]8:3333/load
hxxp://43[.]142[.]89[.]138:8081/dot[.]gif
hxxp://121[.]40[.]75[.]34:10021/api/info
hxxp://81[.]71[.]102[.]76:8080/dpixel
hxxp://62[.]234[.]3[.]193:10033/ptj
hxxps://3[.]14[.]130[.]179/__utm[.]gif
hxxp://120[.]194[.]218[.]94:8081/en_US/all[.]js
hxxp://43[.]142[.]90[.]7:8081/activity
hxxp://43[.]139[.]221[.]182:8888/dot[.]gif
hxxp://43[.]143[.]184[.]22:801/match
hxxp://8[.]134[.]109[.]120:2323/ga[.]js
hxxp://139[.]9[.]41[.]77:9000/updates[.]rss
hxxp://test[.]htl502[.]tech/pixel
hxxps://42[.]51[.]45[.]241:8821/activity
hxxps://101[.]35[.]21[.]201:50002/visit[.]js
hxxp://39[.]104[.]180[.]151:12138/dpixel
hxxp://150[.]158[.]41[.]176:800/cm
hxxp://42[.]193[.]44[.]136/load
hxxp://139[.]9[.]41[.]156:81/IE9CompatViewList[.]xml
hxxps://newstatisc[.]googleinfo[.]se:2053/dpixel
hxxp://121[.]5[.]165[.]122:8089/updates[.]rss
hxxp://45[.]94[.]42[.]61:18080/dpixel
hxxps://1[.]117[.]59[.]12:8081/cx
hxxp://1[.]117[.]228[.]211/static
hxxp://106[.]12[.]129[.]225:81/cm
hxxps://106[.]12[.]129[.]225:8090/cx
hxxps://45[.]94[.]42[.]61:8443/cx
hxxp://106[.]13[.]20[.]56/en_US/all[.]js
hxxp://101[.]35[.]21[.]201:50001/IE9CompatViewList[.]xml
hxxp://175[.]24[.]235[.]158:6060/j[.]ad
hxxp://154[.]221[.]17[.]44:2090/dpixel
hxxps://usadevgroup[.]com/gv
hxxp://8[.]219[.]218[.]164/ptj
hxxp://110[.]42[.]213[.]232:6666/ptj
hxxps://121[.]41[.]179[.]124/g[.]pixel
hxxp://106[.]12[.]106[.]210/IE9CompatViewList[.]xml
hxxps://43[.]142[.]187[.]77/fwlink
hxxp://107[.]189[.]31[.]184/jquery-3[.]3[.]1[.]min[.]js
hxxp://8[.]134[.]96[.]195:39800/IE9CompatViewList[.]xml
hxxps://62[.]234[.]3[.]193:4443/visit[.]js
hxxp://43[.]138[.]107[.]32:7777/load
hxxps://49[.]4[.]88[.]243/push
hxxps://95[.]214[.]26[.]27/jquery-3[.]3[.]1[.]min[.]js
hxxp://46[.]21[.]153[.]142/design/query/9X5M3SOE0F
hxxps://8[.]140[.]37[.]238:9999/push
hxxps://43[.]139[.]190[.]82/www/handle/doc
hxxp://c2[.]ststjst[.]shop:2059/jquery-3[.]3[.]1[.]min[.]js
hxxp://39[.]99[.]242[.]16:4444/IE9CompatViewList[.]xml
hxxps://polkbrothers[.]com/design/query/9X5M3SOE0F
hxxp://103[.]234[.]72[.]150/fwlink
hxxp://107[.]151[.]252[.]191:9999/__utm[.]gif
hxxp://123[.]57[.]83[.]141:8088/pixel[.]gif
hxxp://182[.]92[.]71[.]20/ptj
hxxps://zx[.]dsvchost[.]com/temp
hxxps://as[.]dsvchost[.]com/zh
hxxps://qw[.]dsvchost[.]com/zh
hxxp://35[.]78[.]65[.]63/load
hxxps://104[.]236[.]180[.]75:8443/visit[.]js
hxxp://139[.]9[.]134[.]16:1111/updates[.]rss
hxxp://74[.]119[.]194[.]239/en_US/all[.]js
hxxp://117[.]50[.]174[.]131:8081/api/x
hxxp://47[.]98[.]216[.]22:8065/ga[.]js
hxxps://45[.]227[.]255[.]38/pixel[.]gif
hxxps://52[.]195[.]150[.]162/match
hxxp://ns2[.]metaethicsecurityltd[.]online/dot[.]gif
hxxp://ns1[.]metaethicsecurityltd[.]online/en_US/all[.]js
hxxp://117[.]72[.]15[.]114/owa/
hxxp://zjgsedu[.]fyi/include/template/isx[.]php
hxxp://124[.]71[.]161[.]182/en_US/all[.]js
hxxps://staxonecommerce[.]com/as[.]css
hxxps://103[.]39[.]78[.]166/push
hxxp://175[.]178[.]115[.]15:8081/cgi-bin/mmwebwx-bin/webwxgetcontact
hxxps://185[.]221[.]202[.]170/load
hxxp://59[.]110[.]225[.]206:801/activity
hxxp://43[.]142[.]85[.]2/g[.]pixel
hxxps://221[.]228[.]216[.]138/reactivate/encryption/LKPFSFMBP
hxxps://125[.]77[.]29[.]201/reactivate/encryption/LKPFSFMBP
hxxps://113[.]137[.]62[.]14/reactivate/encryption/LKPFSFMBP
hxxps://113[.]105[.]162[.]253/reactivate/encryption/LKPFSFMBP
hxxps://42[.]56[.]64[.]102/reactivate/encryption/LKPFSFMBP
hxxp://139[.]155[.]0[.]238:8094/IE9CompatViewList[.]xml
hxxp://152[.]136[.]44[.]210:8888/updates[.]rss
hxxp://146[.]19[.]253[.]110/Def/v4[.]21/C58XIA75S6
hxxp://47[.]93[.]63[.]179:8888/maps/overlaybfpr
hxxps://175[.]27[.]252[.]142/fwlink
hxxp://120[.]46[.]211[.]40:8081/updates[.]rss
hxxp://118[.]195[.]243[.]51:8888/g[.]pixel
hxxps://1[.]15[.]248[.]225/__utm[.]gif
hxxp://www[.]atomscience[.]cn/jquery-3[.]3[.]1[.]min[.]js
hxxps://c2listx[.]beauty:2053/api/3
hxxps://auto[.]safariupdate[.]net/api/v4/zones/entitlements
hxxps://34[.]96[.]240[.]180:41443/j[.]ad
hxxps://nbnj[.]xyz:2053/wp08/wp-includes/dtcla[.]php
Cobalt Strike


URL
hxxp://1private[.]pro/c2sock
Lumma Stealer


URL
hxxp://116[.]202[.]5[.]112:27015/archive[.]zip
Vidar


URL
hxxp://103[.]57[.]130[.]116/183/Rgss[.]exe
CloudEyE


URL
hxxps://windowlight[.]org/tLQvpsbb
FAKEUPDATES


URL
hxxp://188[.]225[.]58[.]206/50/external/Image/Uploads/SqlProtect/basepacket/Vm7db/7Wp7/Cdndatalife/82Video/CpuEternal/mariadbApi/JsCentralEternal/8Track0/7cdn/wordpressdle[.]php
DCRat




※1「i-FILTER」アクセスログを検索し端末を特定してください
    不要なアクセスを避けるため、一部変更しております。


■製品対応状況（※2）
▽i-FILTER（※3）
・[脅威情報サイト]カテゴリでブロック可能

※2 ブロックの可否は各製品の設定によるため、実際の結果はアクセスログを参照してください。
※3 暗号化された通信の場合は、SSL Adapterの設定を「利用」にする必要があります。