记一个phishing website的追踪

今天打开hotmail,发现连续受到多封从paypal发来的信件发信人为From: service@ (intl.paypal.com service@intl.paypal.com),说是我已经缴纳了100美刀的费用,后面给出了链接 信件内容如下:

You've got new founds!

Adil Hassan Mohammed just sent you money with PayPal

Adil Hassan Mohammed is a Verifyed buyer

Payment Details:

Amount: $100.00 USD
Subject: Viagra.
Trancaction ID: 7PF71860PP9703380

View the details of this trancaction:
https://www.paypal.com/row/cgi-bin/webscr?cmd=_account

-----------------------------------
Thanks you for using PayPal!
The PayPal Team
-----------------------------------

Copyright© 1999-2007 PayPal. All rights reserved.

PayPal Email ID: PP351

 

---

 

https://www.paypal.com/row/cgi-bin/webscr?cmd=_account  这个地址好像是paypal的地址 点开链接却连到了http://www.ecard.mn/cgi-bin/webscr/

随后IE7给出了安全警告: "Suspicious Website"

这个页面和paypal的界面一模一样 看来这一定是phishing站点

看看后缀为mn的domain. 从来没有听说过 googling了一下 发现是Mongolia的域名[莫非是蒙古犯罪组织啊?]

用whois.domain.mn找了下这个ecard.mn的域名 没有发现任何东西 是这个whois不全面还是这个网站的注册人用了什么特殊服务把注册信息隐藏了? 不应该啊...

连上http://www.nic.mn/ 里面也有whois功能

找到如下信息:

 

---

 

Domain ID:D445747-LRCC
Domain Name:ECARD.MN
Created On:09-Jan-2006 18:46:36 UTC
Last Updated On:26-Apr-2007 03:04:32 UTC
Expiration Date:09-Jan-2008 18:46:36 UTC
Sponsoring Registrar:Datacom Co., Ltd. (R127-LRCC)
Status:OK
Registrant ID:DC_6227246
Registrant Name:Buyant-Orgil Enkhbaatar
Registrant Organization:Bodi-Electronics
Registrant Street1:Bodi Tower 3-305
Registrant Street2:
Registrant Street3:
Registrant City:UB
Registrant State/Province:MN
Registrant Postal Code:976
Registrant Country:MN
Registrant Phone:+976.11323486
Registrant Phone Ext.:
Registrant FAX:+976.11315145
Registrant FAX Ext.:
Registrant Email:

 

---

 

总结: 这个phishing网站利用模拟paypal的界面进行信用卡欺骗 用户只要填入账号和密码进行登陆 就会递交表单发送给这个网站 随后这个网站会以用户名或者密码不对而把链接转到真正的paypal 粗心大意的用户在不经以之间就会泄露自己的重要信息 这个也是通常phishing网站工作的原理 警惕大家小心 如果这样的phishing网站发生在中国 大家用whois去查 然后直接找上家门真人快打吧 -. -