金融庁を騙ったフィッシングサイトを調べてみた

金融庁を騙ったフィッシングサイトについて調べた情報を掲載します。このフィッシングサイトを対象としたものかは不明ですが、2015年9月11日に金融庁は模倣サイトの注意喚起を行っています。

確認できた金融庁を騙ったフィッシングサイトは2015年9月13日現在稼働中です。次の入力項目を通じて、銀行関係の情報を収集することを目的とした構成となっています。

金融庁が注意喚起を掲載したのは最近ですが、7月にはこの手のフィッシングサイトは確認されていたようで無題な濃いログでも取り上げられていました。

マルウェアに感染した端末が特定の銀行サイトに接続するとこの画面がポップアップすると記載があります。
感染した場合、IEのアドオンとして「JapenHelper Class」(Japanをタイポしてる？)として登録される模様。

このマルウェアと思われるkrqsoft.dllを分析した記事によれば、次の銀行が対象と一覧がありました。感染経路についても記述があり、Exploit Kitによると報告されています。

対象URL	銀行
ib.sevenbank.co.jp/IB/	セブン銀行
www.direct.gunmabank.co.jp/	群馬銀行
www.parasol.anser.ne.jp/	横浜銀行
bb3.ib.finemax.net	第三銀行
ib.keiyobank.co.jp	京葉銀行
www.ib-channel.net	三重銀行、愛媛銀行、東京スター銀行、大東銀行
ib.shinwabank.co.jp	親和銀行
ib.higobank.co.jp	肥後銀行
ib.kagin.co.jp	鹿児島銀行
mib.miyagin.co.jp	宮崎銀行
mp.resona-gr.co.jp	りそな銀行
www.inb.nantobank.chance.co.jp	南都銀行
www.paranet.tottoribank.co.jp	鳥取銀行
ib2.gogin.co.jp	山陰合同銀行
www.inb.yamaguchibank.chance.co.jp	山口銀行

piyokangoが確認したサンプルではさらに次の銀行も含まれていることを確認しています。

対象URL	銀行
bk.juroku.co.jp	十六銀行
bk02.jibunbank.co.jp	じぶん銀行
direct1.82bank.co.jp	八十二銀行
direct3.smbc.co.jp	三井住友銀行
hd3.hokuyobank.co.jp	北洋銀行
ib.aeonbank.co.jp	イオン銀行
ib.aozorabank.co.jp	あおぞら銀行
ib.chibabank.co.jp	千葉銀行
ib.daishi-bank.co.jp	第四銀行
ib.fukuokabank.co.jp	福岡銀行
ib.hokkokubank.co.jp	北國銀行
ib.michinokubank.co.jp	みちのく銀行
ib.surugabank.co.jp	スルガ銀行
ib.tsukubabank.co.jp	つくば銀行
ib1.awabank.co.jp	あわ銀行
ib1.musashinobank.co.jp	武蔵野銀行
ib1.yamagatabank.co.jp	山形銀行
o2o.moneykit.net/TDGate1	ソニー銀行
pdirecta08.shinseibank.com	新生銀行
web1.ib.mizuhobank.co.jp	みずほ銀行
www.105direct.105bank.com	百五銀行
www.aidirect.aichibank.co.jp	愛知銀行
www.direct.shizuokabank.co.jp	静岡銀行
www.ib.tominbank.co.jp	都民銀行
www.inb.114bank.chance.co.jp	百十四銀行
www.inb.joyobank.chance.co.jp	常陽銀行
www.inb.kitakyushubank.chance.co.jp	北九州銀行
www.ncb-direct.ncbank.co.jp	西日本シティ銀行