2/9 15:30くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた
見た分だけ
Hostname
- bolehprediksi[.]com
- www[.]designindia[.]live
- www[.]hair2mpress[.]com
- www[.]worldnoticiasonline[.]com
- 9jabliss[.]com
- femminent[.]com
- liberty[.]blvrdev[.]com
- milkteaway[.]azurewebsites[.]net
- nehashetty[.]xyz
- storeofofficial[.]shop
- newframeworks[.]condor-group[.]it
- njcifd[.]ueuo[.]com
- sa[.]kadoonstore[.]com
- therecruiter[.]io
- prayermountaintop[.]org
- ta-behesht[.]ir
- tatcogroup[.]ir
- tcpartner[.]ru
- tepcian[.]utcc[.]ac[.]th
- ourproductreview[.]in
- kobo[.]nhanhwebvn[.]com
- khoshrougallery[.]com
- legal[.]dailynotebook[.]org
- gatelen-002-site1[.]htempurl[.]com
- blog[.]prodigallovers[.]com
- blockchainjoblist[.]com
- womenempowermentpakistan[.]com
- atnimanvilla[.]com
- yeuquynhnhai[.]com
- deepikarai[.]com
- adalimmigrations[.]com
- www[.]cclrbbt[.]com
- parkweller[.]com
- dentistryattheten[.]com
- beech[.]org
IP
- 45[.]55[.]179[.]121
- 103[.]38[.]12[.]139
- 176[.]202[.]106[.]124
- 172[.]221[.]229[.]86
- 187[.]190[.]47[.]173
- 91[.]236[.]4[.]234
- 187[.]190[.]47[.]173
- 71[.]126[.]247[.]90
- 70[.]184[.]112[.]55
- 5[.]34[.]158[.]102
使いまわしのスパンが短くなってる印象。IPは少し追加された？
2/8 13:30くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた
見た分だけ
Hostname
- ta-behesht[.]ir
- tatcogroup[.]ir
- tcpartner[.]ru
- tepcian[.]utcc[.]ac[.]th
- ourproductreview[.]in
- kobo[.]nhanhwebvn[.]com
- khoshrougallery[.]com
- legal[.]dailynotebook[.]org
- gatelen-002-site1[.]htempurl[.]com
- blog[.]prodigallovers[.]com
- adalimmigrations[.]com
- www[.]cclrbbt[.]com
- parkweller[.]com
- dentistryattheten[.]com
- beech[.]org
- movin[.]cloud
- ribrart[.]com
- www[.]pureborn[.]com
- phuongphamngulao[.]gov[.]vn
- wwwzarawazircom[.]000webhostapp[.]com
- sportnal[.]azurewebsites[.]net
- teeo[.]highoninfo[.]com
- thebluebearyhillproject[.]com
- themefolks[.]com
- techotechsolution[.]com
- supcargo[.]com
- sunucuo[.]com
- sweetestshop[.]ca
- subhedarmarketing[.]com
- takharandshankertour[.]com
- 9jabliss[.]com
- nvl[.]netsmartz[.]net
- tbadl-ashtrakat[.]000webhostapp[.]com
- web23[.]s170[.]goserver[.]host
- steakhouse42[.]site
- www[.]vgxph[.]com
- khanhbuiads[.]com
- www[.]cclrbbt[.]com
- paginas[.]constructorajksalcedo[.]com
- masumalrefat[.]top
IP
- 71[.]126[.]247[.]90
- 172[.]221[.]229[.]86
- 70[.]184[.]112[.]55
- 5[.]34[.]158[.]102
- 24[.]249[.]63[.]138
- 98[.]239[.]119[.]52
- 80[.]86[.]91[.]91
- 104[.]236[.]28[.]47
- 71[.]126[.]247[.]90
- 103[.]38[.]12[.]139
感染後に接続するIP増えてね？
2/7 11:30くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた
見た分だけ
Hostname
- supcargo[.]com
- sunucuo[.]com
- sweetestshop[.]ca
- subhedarmarketing[.]com
- takharandshankertour[.]com
- 9jabliss[.]com
- nvl[.]netsmartz[.]net
- tbadl-ashtrakat[.]000webhostapp[.]com
- web23[.]s170[.]goserver[.]host
- steakhouse42[.]site
- sportnal[.]azurewebsites[.]net
- teeo[.]highoninfo[.]com
- thebluebearyhillproject[.]com
- themefolks[.]com
- techotechsolution[.]com
- iosm[.]cl
- succasucculents[.]com
- barbearialumber[.]tempsite[.]ws
- safelink[.]themeson[.]review
- chaco[.]travel
- haoyindz[.]com
- tay[.]batt2u[.]com
- powerlinkaudio[.]com
- perfectfoodcenters[.]com
- tatse[.]de
- movin[.]cloud
- ribrart[.]com
- www[.]pureborn[.]com
- phuongphamngulao[.]gov[.]vn
- wwwzarawazircom[.]000webhostapp[.]com
IP
- 71[.]126[.]247[.]90
- 98[.]239[.]119[.]52
- 80[.]86[.]91[.]91
- 45[.]79[.]223[.]161
- 24[.]249[.]63[.]138
- 114[.]151[.]14[.]161
- 2[.]45[.]165[.]235
- 103[.]38[.]12[.]139
any. runにsubmitされてる検体、
— はしだい (@HASH1da1) 2020年2月7日
hxxp[://]supcargo[.]com/Login/K/*
hxxp[://]sunucuo[.]com/wp-admin/0V0e/*
hxxp[://]sweetestshop[.]ca/wp/3ca5oq/*
hxxp[://]subhedarmarketing[.]com/2/7gtTEM8/*
hxxp[://]takharandshankertour[.]com/wp-includes/IXR/2/'
への通信のやつ多いな
という感じです。 ドメイン名については多くが過去の使いまわしですね。
2/6 11:00くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた
見た分だけ
PowerShell
- adamwilt15[.]com
- ansu[.]or[.]jp
- megafitsupplements[.]com
- www[.]kaiwangdian[.]com
- vfxcool[.]com
- yeabeauty[.]top
- elarabia[.]designlandwebsolutions[.]online
- txblog[.]50cms[.]com
- marahiyohiyo[.]com
- wqapp[.]50cms[.]com
- wunpangbicycle[.]com
- co9dance[.]com
- yayasansekora[.]org
- taswir[.]org
- www[.]observatoriodatosabiertosgenero[.]org
- ga-partnership[.]com
- linkgensci[.]com
- baakcafe[.]com
- wieland-juettner[.]de
- apo-alte-post[.]de
- pemasaran[.]ptpnxiv[.]com
- aws[.]firstdistribution[.]com
- reklamlar[.]mamadunyasi[.]com
- medjamakan[.]com
- www[.]codetisan[.]com
- txshool[.]50cms[.]com
- rahul[.]dixitaaparrels[.]com
- vox[.]ctf-fce[.]ca
- www[.]uttarakhandghoomo[.]com
- www[.]topcompanies[.]news
- alwaysonq[.]com
- norbert[.]strzelecki[.]org
- bieres[.]lavachenoiresud[.]com
- theresurrectionchurch[.]nl
- tahfizbd[.]com
IP
- 37[.]211[.]90[.]253
- 85[.]100[.]115[.]92
- 149[.]210[.]171[.]237
- 95[.]85[.]22[.]63
- 173[.]73[.]87[.]96
- 213[.]107[.]110[.]252
- 51[.]77[.]113[.]100
- 152[.]169[.]31[.]120
- 211[.]20[.]154[.]102
- 45[.]55[.]179[.]121
- 198[.]211[.]121[.]27
ドメイン見てると1/20にsubmitされてたやつと同じ通信先だなぁと思いました。
2/5 14:30くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた
見た分だけ
Hostname
- roiboypoka[.]ru
- medical[.]hsh-bh[.]com
- elifehotel[.]com
- ceylongems[.]konektholdings[.]com
- bankingdb[.]com
- modahub[.]site
- buildbybuild[.]com
- heyat[.]yaranenab[.]com
- 18791[.]com
- activation2[.]mathetmots[.]com
- food[.]hsh-bh[.]com
- ornadh[.]com
- tryotium[.]com
- ucakkargo[.]app
- how-to-tech[.]com
- calabughi-demo[.]holodemo[.]it
- crimecitynews[.]com
- clicksbyayush[.]com
- www[.]hgklighting[.]com
- cheapwebvn[.]net
- sundevilstudentwork[.]com
- faro-master[.]ru
- blog[.]adpubmatic[.]com
- www[.]40ad[.]com
- anaracademy[.]ir
- procast[.]nl
- thehomelyfood[.]com
- cfped-duca[.]com
- bookdigger[.]azurewebsites[.]net
- wasap[.]lse[.]org[.]ro
- furiousfox[.]in
- sirwalsulthan[.]com
- wifinames[.]xyz
- sucmanhquangcao[.]com
- www[.]liberid[.]com
- musicbloggery[.]co[.]uk
- blockchainjoblist[.]com
- womenempowermentpakistan[.]com
- atnimanvilla[.]com
- yeuquynhnhai[.]com
- www[.]trinomulkantho[.]com
- 40ad[.]com
- bestdiyprojects[.]info
- zetalogs[.]com
- beleze[.]com[.]br
- rmw-pulsa[.]com
- koddata[.]com
- icapture[.]app
- arthro-1[.]site
- serverhp[.]top
IP
- 70[.]187[.]114[.]147
- 209[.]146[.]22[.]34
- 104[.]236[.]28[.]47
- 198[.]58[.]114[.]91
- 45[.]79[.]223[.]161
- 91[.]205[.]215[.]10
- 139[.]162[.]183[.]41
- 69[.]55[.]238[.]203
- 47[.]155[.]214[.]239
興が乗って感染後の通信先まで少し調べた。any.run便利まじで。
2/4 12:30くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた
見た分だけ
PowerShell
- pemasaran[.]ptpnxiv[.]com
- aws[.]firstdistribution[.]com
- reklamlar[.]mamadunyasi[.]com
- medjamakan[.]com
- www[.]codetisan[.]com
- wemax-ks[.]com
- makeupandbeautyguides[.]com
- todayspagepk[.]com
- vancity[.]space
- softus-dev[.]com
- thehomelyfood[.]com
- cfped-duca[.]com
- bookdigger[.]azurewebsites[.]net
- wasap[.]lse[.]org[.]ro
- furiousfox[.]in
- melarkhobor[.]com
- www[.]dienlanhducthang[.]com
- www[.]eakar[.]com[.]vn
- accelerate[.]zero1creations[.]com
- livingartdecor[.]com[.]au
- standardsurfactants[.]com
- siliquehair[.]com
- badabasket[.]materialszone[.]com
- decons[.]ai
- puchdresult[.]co[.]in
- houloul[.]org
- www[.]ecodetect[.]com[.]br
- fiberflon[.]senfonicoworks[.]com
- www[.]sitagroup[.]it
- 9smap[.]hfdev[.]uk
- pixtravelers[.]com
- jevelin[.]dongxanhshop[.]com
- new[.]dongxanhshop[.]com
- demo[.]hbmonte[.]com
- redwingdemo[.]dukaafrica[.]com
- uccn[.]bru[.]ac[.]th
- primeagribusiness[.]com
- photo2[.]nerdtonik[.]com
- hkmysan[.]com
- ecofibers[.]pacifyca[.]com
- www[.]icairjy[.]org
- beta[.]theeyestyles[.]com
- rcsic[.]technocloudtech[.]com
- www[.]expertencall[.]com
- lifebrate[.]com
使いまわし多いですね。 あとAzureとかもあったりしてアな気持ちになった。
2/3 13:30くらいまでにany.runにsubmitされた #Emotet のペイロードに含まれるドメインリストまとめた
PowerShell
- bolehprediksi[.]com
- www[.]designindia[.]live
- www[.]hair2mpress[.]com
- www[.]worldnoticiasonline[.]com
- 9jabliss[.]com
- reneaskin[.]com
- reza[.]dowrcity[.]com
- aws[.]firstdistribution[.]com
- trancanh[.]net
- kloaktest[.]site
- chonhangchuan[.]net
- bepdaiduong[.]com
- archseattlepilgrimage[.]org
- dienmaysieuviet[.]vn
- thietbivandat[.]com
- rmw-pulsa[.]com
- koddata[.]com
- icapture[.]app
- arthro-1[.]site
- serverhp[.]top
- ptzz360[.]com
- mjs-wireless[.]com
- www[.]ismesab[.]com
- azurein360[.]com
- testjbarron[.]ipage[.]com
- uccn[.]bru[.]ac[.]th
- primeagribusiness[.]com
- photo2[.]nerdtonik[.]com
- hkmysan[.]com
- ecofibers[.]pacifyca[.]com
- diwafashions[.]com
- designers[.]hotcom-web[.]com
- dixartcontractors[.]com
- diaspotv[.]info
- easyvisaoverseas[.]com
WScript
- no submited?
PSのEmotetは通信先使いまわしが目立ちますね。 WScriptなEmotetはsubmitされなくなってた？出回ってないのかな...
