🚀 go-pugleaf

Cyrano wrote:

[phising e-mail]
> "<here>" gaat naar:
> 
> <http://218.188.3.252/.cgi-bin/SouthTrust/index.html>
> 
> net zoals alle andere links in de mail. Volgens APNIC is dit segement 4 
> bij hen maar er is geen verder detail. Ik eet mijn hoed op als dit niet 
> in China zal zijn op één of andere spamhost.
> 

Euh...

http://www.iana.org/assignments/ipv4-address-space
[ff in tekst zoeken op "218" o.i.d]

$ whois -h whois.apnic.net 218.188.3.252
% [whois.apnic.net node-2]
% Whois data copyright terms    http://www.apnic.net/db/dbcopyright.html

inetnum:      218.188.0.0 - 218.189.255.255
netname:      HGC
descr:        Hutchison Global Communications
country:      HK
admin-c:      IH17-AP
tech-c:       IH17-AP
mnt-by:       APNIC-HM
mnt-lower:    MAINT-HK-HGCADMIN
remarks:      included the /17 previous allocation
changed:      andycw@hgc.com.hk 20040209
status:       ALLOCATED PORTABLE
changed:      hm-changed@apnic.net 20040212
source:       APNIC

person:       ITMM HGC
nic-hdl:      IH17-AP
e-mail:       hgcnetwork@hgc.com.hk
address:      9/F Low Block ,
address:      Hutchison Telecom Tower,
address:      99 Cheung Fai Rd, Tsing Yi,
address:      HONG KONG
phone:        +852-21229555
fax-no:       +852-21239523
country:      HK
remarks:      Send spam reports to abuse@on-nets.com
remarks:      and abuse reports to abuse@on-nets.com
remarks:      Please include detailed information and
remarks:      times in HKT
changed:      hgcnetwork@hgc.com.hk 20050620
mnt-by:       MAINT-HK-HGCADMIN
source:       APNIC


> Het ziet ernaar uit dat ze zichzelf fraudeurs noemen. Of heeft er iemand 
> de gif op hun server vervangen?
> 
> 
> Your input is welcome  :-)

$ rblcheck 218.188.3.252
218.188.3.252 not RBL filtered by xbl.spamhaus.org
218.188.3.252 not RBL filtered by sbl.spamhaus.org
218.188.3.252 not RBL filtered by list.dsbl.org
218.188.3.252 not RBL filtered by dnsbl.njabl.org
218.188.3.252 not RBL filtered by dul.dnsbl.sorbs.net
218.188.3.252 not RBL filtered by l1.spews.dnsbl.sorbs.net

http://www.senderbase.org/search?searchString=218.188.3.252&showRBL=1
http://groups-beta.google.com/groups?scoring=d&q=218.188.3.252+group:*abuse*

ff simpel gehouden:
$ nmap 218.188.3.252

Starting nmap 3.81 ( http://www.insecure.org/nmap/ ) at 2005-06-21 20:47 
CEST
Interesting ports on 218.188.3.252:
(The 1661 ports scanned but not shown below are in state: filtered)
PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http

Nmap finished: 1 IP address (1 host up) scanned in 54.234 seconds

In de sourcecodes heb ik nog niks kunnen ontdekken dat een (IE)bug 
exploit en/of een trojan dropped (maar kan ook zijn dat ik nog niet goed 
genoeg heb gekeken).
Zie ook http://perre.net/ (== http://218.188.3.252)... Afleiding, of een 
gehackte webserver?

-- 
Met vriendelijke groet / Best regards,
Jan Reilink, VEVIDA Nederland BV

Postbus 329, 9700 AH GRONINGEN, +31(0)50 - 5492234