🚀 go-pugleaf

In article <42b862c9$0$40043$e4fe514c@dreader17.news.xs4all.nl>,
 Jan Reilink <janreilink@vevida.nl> wrote:

> Cyrano wrote:
> 
> [phising e-mail]
> > "<here>" gaat naar:
> > 
> > <http://218.188.3.252/.cgi-bin/SouthTrust/index.html>
> > 
> > net zoals alle andere links in de mail. Volgens APNIC is dit segement 4 
> > bij hen maar er is geen verder detail. Ik eet mijn hoed op als dit niet 
> > in China zal zijn op ��n of andere spamhost.
> > 
> 
> Euh...
> 
> http://www.iana.org/assignments/ipv4-address-space
> [ff in tekst zoeken op "218" o.i.d]
> 
> $ whois -h whois.apnic.net 218.188.3.252
> % [whois.apnic.net node-2]
> % Whois data copyright terms    http://www.apnic.net/db/dbcopyright.html
> 
> inetnum:      218.188.0.0 - 218.189.255.255
> netname:      HGC
> descr:        Hutchison Global Communications
> country:      HK
> admin-c:      IH17-AP
> tech-c:       IH17-AP
> mnt-by:       APNIC-HM
> mnt-lower:    MAINT-HK-HGCADMIN
> remarks:      included the /17 previous allocation
> changed:      andycw@hgc.com.hk 20040209
> status:       ALLOCATED PORTABLE
> changed:      hm-changed@apnic.net 20040212
> source:       APNIC
> 
> person:       ITMM HGC
> nic-hdl:      IH17-AP
> e-mail:       hgcnetwork@hgc.com.hk
> address:      9/F Low Block ,
> address:      Hutchison Telecom Tower,
> address:      99 Cheung Fai Rd, Tsing Yi,
> address:      HONG KONG
> phone:        +852-21229555
> fax-no:       +852-21239523
> country:      HK
> remarks:      Send spam reports to abuse@on-nets.com
> remarks:      and abuse reports to abuse@on-nets.com
> remarks:      Please include detailed information and
> remarks:      times in HKT
> changed:      hgcnetwork@hgc.com.hk 20050620
> mnt-by:       MAINT-HK-HGCADMIN
> source:       APNIC
> 



Mmmmm... Jouw whois geeft meer info dan die van MacOSX 10.4 
(netwerkhulpprogramma)... 
Eens nakijken. Mmmm... Via de terminal werkt het wel. Goed zo Apple! Dat 
is een fijn netwerktool.



> > Het ziet ernaar uit dat ze zichzelf fraudeurs noemen. Of heeft er iemand 
> > de gif op hun server vervangen?
> > 
> > 
> > Your input is welcome  :-)
> 
> $ rblcheck 218.188.3.252
> 218.188.3.252 not RBL filtered by xbl.spamhaus.org
> 218.188.3.252 not RBL filtered by sbl.spamhaus.org
> 218.188.3.252 not RBL filtered by list.dsbl.org
> 218.188.3.252 not RBL filtered by dnsbl.njabl.org
> 218.188.3.252 not RBL filtered by dul.dnsbl.sorbs.net
> 218.188.3.252 not RBL filtered by l1.spews.dnsbl.sorbs.net
> 
> http://www.senderbase.org/search?searchString=218.188.3.252&showRBL=1
> http://groups-beta.google.com/groups?scoring=d&q=218.188.3.252+group:*abuse*
> 
> ff simpel gehouden:
> $ nmap 218.188.3.252
> 
> Starting nmap 3.81 ( http://www.insecure.org/nmap/ ) at 2005-06-21 20:47 
> CEST
> Interesting ports on 218.188.3.252:
> (The 1661 ports scanned but not shown below are in state: filtered)
> PORT   STATE SERVICE
> 22/tcp open  ssh
> 80/tcp open  http
> 
> Nmap finished: 1 IP address (1 host up) scanned in 54.234 seconds
> 
> In de sourcecodes heb ik nog niks kunnen ontdekken dat een (IE)bug 
> exploit en/of een trojan dropped (maar kan ook zijn dat ik nog niet goed 
> genoeg heb gekeken).
> Zie ook http://perre.net/ (== http://218.188.3.252)... Afleiding, of een 
> gehackte webserver?

Ik begin te vermoeden dat die gif door southtrust bank geplaatst is. Hun 
security dep. antwoord was er razendsnel bij en voor een keer eens right 
on topic...

Dat zou dus counterhacking zijn  :-)


Ik heb trouwens alweer een nieuwe phishing mail gekregen, zonder die 
gif, van een andere lokatie, voor dezelfde bank.


EN gelukkig draag ik nooit een hoed  :-)