一方的に書き連ねるブログ

航海してすぐ後悔

2/17 13:30くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた

見た分だけ

Hostname

  • amelano[.]net
  • 911concept[.]com
  • ayonschools[.]com
  • beech[.]org
  • firelabo[.]com
  • sundeckdestinations[.]com
  • inicumademo[.]com
  • nusantara86[.]com
  • sgdwtoken[.]com
  • technopicks4women[.]com
  • modiracc[.]com
  • www[.]billrothhospitals[.]com
  • opticsbd[.]com
  • office365[.]login[.]com
  • birdlandonetoone[.]com
  • 860259[.]com

IP

  • 100[.]6[.]23[.]40
  • 200[.]71[.]200[.]4
  • 190[.]114[.]244[.]182
  • 91[.]250[.]96[.]22
  • 37[.]187[.]72[.]193

submit数少ない。あとIP追加されてるしホストも追加されておる

GitHub

github.com

2/16 13:00くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた

見た分だけ

(めちゃ少ない)

Hostname

  • www[.]unitedmedsshop[.]com
  • cengizguler[.]com[.]tr
  • ketorecipeslchf[.]site
  • bondbengals[.]info
  • bikelovers[.]blog[.]br
  • activation[.]mathetmots[.]com
  • crm[.]uetuniversal[.]com
  • trovitcorporate[.]volcanicvalley[.]com
  • houston[.]cypshluchim[.]com
  • myphamkat[.]com
  • demo[.]voolatech[.]com
  • vikisa[.]com
  • snchealthmedico[.]com
  • conilizate[.]com
  • myevol[.]biz
  • fundidoradealuminio[.]com
  • hotelandamalabo[.]com
  • parcnational-lomami[.]org
  • ummistore[.]com
  • www[.]maisonbolivar[.]com

submit数少ないのでこの程度ですね。。。 というかIcedidが降ってくるdocが増えてますね。(Emotet→Icedidの流れが再開しそう?)

GitHub

github.com

2/14 12:30くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた

見た分だけ

Hostname

  • kobo[.]nhanhwebvn[.]com
  • khoshrougallery[.]com
  • legal[.]dailynotebook[.]org
  • gatelen-002-site1[.]htempurl[.]com
  • blog[.]prodigallovers[.]com
  • movin[.]cloud
  • ribrart[.]com
  • www[.]pureborn[.]com
  • phuongphamngulao[.]gov[.]vn
  • wwwzarawazircom[.]000webhostapp[.]com
  • blockchainjoblist[.]com
  • womenempowermentpakistan[.]com
  • atnimanvilla[.]com
  • yeuquynhnhai[.]com
  • deepikarai[.]com
  • adamwilt15[.]com
  • ansu[.]or[.]jp
  • megafitsupplements[.]com
  • www[.]kaiwangdian[.]com
  • vfxcool[.]com
  • fxvipmaster[.]com
  • celebritytoo[.]com
  • cuahangphongthuy[.]net
  • onlyyoursitebest[.]xyz
  • www[.]6666888[.]xyz
  • maxtechmfg[.]com
  • www[.]vbetnews[.]com
  • blogforlady[.]com
  • mp[.]webexpertsonline[.]org
  • minotka[.]com
  • yeabeauty[.]top
  • elarabia[.]designlandwebsolutions[.]online
  • txblog[.]50cms[.]com
  • marahiyohiyo[.]com
  • wqapp[.]50cms[.]com
  • muabanmaylaser[.]com
  • www[.]codetisan[.]com
  • bettyasha[.]com
  • payer[.]orientsportshouse[.]com
  • support[.]deltainfocom[.]com
  • tracychilders[.]com
  • thedewans[.]com
  • stuartmeharg[.]ie
  • supercardoso[.]com[.]br
  • stars-castle[.]ir

IP

  • 172[.]221[.]229[.]86
  • 187[.]190[.]47[.]173
  • 91[.]236[.]4[.]234
  • 71[.]126[.]247[.]90
  • 51[.]68[.]226[.]98
  • 104[.]236[.]28[.]47

cmdでアクセスしてるのとかありました。(まぁPS呼んでますが)

GitHub

github.com

2/13 12:30くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた

見た分だけ

Hostname

  • maxtechmfg[.]com
  • www[.]vbetnews[.]com
  • blogforlady[.]com
  • mp[.]webexpertsonline[.]org
  • minotka[.]com
  • duhochvc[.]com
  • all-fly[.]info
  • studiomap[.]kr
  • clcindy[.]com
  • uglobalfinance[.]com
  • luislar68[.]000webhostapp[.]com
  • khomaynhomnhua[.]vn
  • fa[.]khanneshinhotel[.]ir
  • littlegreenwheel[.]com
  • rawdahtrust[.]org
  • oniongames[.]jp
  • pmthome[.]com
  • urgeventa[.]es
  • solmec[.]com[.]ar
  • tiagocambara[.]com
  • jayracing[.]com
  • josemoo[.]com
  • rcmgdev44[.]xyz
  • itconsortium[.]net
  • demu[.]hu
  • marcelsourcing[.]com
  • sewaseminar[.]djamscakes[.]com
  • gk725[.]com
  • behfarmer[.]com
  • blog[.]anytimeneeds[.]com
  • bilolawoffice[.]com
  • achieversnews[.]com
  • mynewdomaintask[.]xyz
  • bnbpriceprediction[.]com
  • sokrit-mb-app[.]freelancekh[.]com
  • candsengg[.]com
  • evaskincomplex[.]com
  • florandina[.]com
  • concatstring[.]com
  • kashifclothhouse[.]com

IP

  • 42[.]115[.]22[.]145
  • 189[.]235[.]233[.]119
  • 100[.]6[.]23[.]40
  • 108[.]6[.]140[.]26
  • 51[.]68[.]226[.]98
  • 71[.]202[.]49[.]79

新しいドメインがいくつか追加されてましたね。 使い回しやめたのか、アクターが違うのか。。

マクロも $ Powershell -w hidden -en のやつに戻ってますし.....

GitHub

github.com

2/12 12:30くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた

見た分だけ

Hostname

  • muabanmaylaser[.]com
  • www[.]codetisan[.]com
  • bettyasha[.]com
  • payer[.]orientsportshouse[.]com
  • support[.]deltainfocom[.]com
  • ta-behesht[.]ir
  • tatcogroup[.]ir
  • tcpartner[.]ru
  • tepcian[.]utcc[.]ac[.]th
  • ourproductreview[.]in
  • aikido-lam[.]com
  • ourmadaripur[.]com
  • newgovtjobcircular[.]com
  • 9jabliss[.]com
  • hostingpointe[.]com
  • ornadh[.]com
  • tryotium[.]com
  • ucakkargo[.]app
  • how-to-tech[.]com
  • calabughi-demo[.]holodemo[.]it
  • fietsenmetkinderen[.]info
  • rokonworld[.]xyz
  • www[.]meubelontwerpstudioheyne[.]nl
  • bursary[.]engsoc[.]queensu[.]ca
  • lapmangfpt[.]haiphong[.]vn
  • juspu[.]com
  • lavanyaholidays[.]com
  • makansob[.]com
  • niagarabeveragesintl[.]com
  • famalivingcastellon[.]com
  • sportnal[.]azurewebsites[.]net
  • teeo[.]highoninfo[.]com
  • thebluebearyhillproject[.]com
  • themefolks[.]com
  • techotechsolution[.]com
  • blockchainjoblist[.]com
  • womenempowermentpakistan[.]com
  • atnimanvilla[.]com
  • yeuquynhnhai[.]com
  • deepikarai[.]com

IP

  • 104[.]236[.]28[.]47
  • 71[.]126[.]247[.]90
  • 51[.]68[.]226[.]98
  • 98[.]15[.]140[.]226
  • 59[.]148[.]227[.]190
  • 37[.]211[.]90[.]253
  • 147[.]83[.]10[.]212
  • 80[.]86[.]91[.]91
  • 45[.]79[.]223[.]161

一部使い回しやめたんかな?

GitHub

github.com

2/11 13:30くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた

見た分だけ

Hostname

  • buildbybuild[.]com
  • heyat[.]yaranenab[.]com
  • 18791[.]com
  • activation2[.]mathetmots[.]com
  • food[.]hsh-bh[.]com
  • femminent[.]com
  • liberty[.]blvrdev[.]com
  • milkteaway[.]azurewebsites[.]net
  • nehashetty[.]xyz
  • storeofofficial[.]shop
  • kobo[.]nhanhwebvn[.]com
  • khoshrougallery[.]com
  • legal[.]dailynotebook[.]org
  • gatelen-002-site1[.]htempurl[.]com
  • blog[.]prodigallovers[.]com
  • femminent[.]com
  • liberty[.]blvrdev[.]com
  • milkteaway[.]azurewebsites[.]net
  • nehashetty[.]xyz
  • storeofofficial[.]shop
  • ta-behesht[.]ir
  • tatcogroup[.]ir
  • tcpartner[.]ru
  • tepcian[.]utcc[.]ac[.]th
  • ourproductreview[.]in
  • iosm[.]cl
  • succasucculents[.]com
  • barbearialumber[.]tempsite[.]ws
  • safelink[.]themeson[.]review
  • chaco[.]travel
  • sirwalsulthan[.]com
  • wifinames[.]xyz
  • sucmanhquangcao[.]com
  • www[.]liberid[.]com
  • musicbloggery[.]co[.]uk
  • etrackdivi[.]hostly[.]hu
  • janusblockchain[.]com
  • hondasaigon[.]com[.]vn
  • iam-creative[.]co[.]id
  • kabul365[.]com

IP

  • 172[.]221[.]229[.]86
  • 24[.]249[.]63[.]238
  • 103[.]38[.]12[.]139
  • 71[.]126[.]247[.]90
  • 98[.]239[.]119[.]52
  • 80[.]86[.]91[.]91
  • 104[.]236[.]28[.]47

ちょっとホスト増えた?

GitHub

github.com

2/10 15:00くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた

見た分だけ

Hostname

  • ads[.]kalabisim[.]com
  • old[.]boracay-presse[.]com
  • projectpartyweb[.]vulturdev[.]com
  • malaysia[.]hadatha[.]net
  • www[.]securotop[.]com
  • etrackdivi[.]hostly[.]hu
  • janusblockchain[.]com
  • hondasaigon[.]com[.]vn
  • iam-creative[.]co[.]id
  • kabul365[.]com
  • pemasaran[.]ptpnxiv[.]com
  • aws[.]firstdistribution[.]com
  • reklamlar[.]mamadunyasi[.]com
  • medjamakan[.]com
  • www[.]codetisan[.]com
  • ta-behesht[.]ir
  • tatcogroup[.]ir
  • tcpartner[.]ru
  • tepcian[.]utcc[.]ac[.]th
  • ourproductreview[.]in
  • 9jabliss[.]com
  • nvl[.]netsmartz[.]net
  • tbadl-ashtrakat[.]000webhostapp[.]com
  • web23[.]s170[.]goserver[.]host
  • steakhouse42[.]site
  • movin[.]cloud
  • ribrart[.]com
  • www[.]pureborn[.]com
  • phuongphamngulao[.]gov[.]vn
  • wwwzarawazircom[.]000webhostapp[.]com
  • supcargo[.]com
  • sunucuo[.]com
  • sweetestshop[.]ca
  • subhedarmarketing[.]com
  • takharandshankertour[.]com
  • consultinghd[.]ge
  • spicetraders[.]ch
  • 1negah[.]net
  • dennis-roth[.]de
  • luaviettours[.]com

IP

  • 152[.]169[.]31[.]120
  • 211[.]20[.]154[.]102
  • 24[.]249[.]63[.]138
  • 103[.]38[.]12[.]139
  • 71[.]126[.]247[.]90
  • 98[.]239[.]119[.]52
  • 80[.]86[.]91[.]91
  • 104[.]236[.]28[.]47
  • 45[.]79[.]223[.]161

やっぱり使い回しのスパン短くなってるような。。。

GitHub

github.com