「【楽天カード】ご請求予定金額のご案内」 マルウェアリンクのURL
下記の件名などで届く、マルウェアリンクを記載した楽天カードを偽装したメール 【楽天カード】ご請求予定金額のご案内 【重要】カスタマセンターからのご案内【楽天カード株式会社】 口座振替日のご案内【楽天カード株式会社】(楽天カード) 記載のリンクは、だいたい下記のような形式で、パスはランダムな数字だが何処を開いても(ルートでも)これらのドメイン配下は、同じ「料金明細をチェック.zip」のダウンロードとなる (www のサブドメインはフツーのサイトなので、Wordpressやファイルマネージャーを乗っ取られて、踏み台にされている様子) http://se.artlyticalmedia.com/zzzzzzz0000000/zzzzzzz0000000zzzzzzz0000000/zzzzzzz0000000 http://gw.hexadecicolors.com/zzzzzzz0000000/zzzzzzz0000000zzzzzzz0000000/zzzzzzz0000000 http://de.davidrhoderick.com/zzzzzzz0000000/zzzzzzz0000000zzzzzzz0000000/zzzzzzz0000000 http://fr.hexadecicolors.com/zzzzzzz0000000/zzzzzzz0000000zzzzzzz0000000/zzzzzzz0000000 これらにマッチする正規表現 http:\/\/[a-z][a-z]\.[^\/]+\/[a-z]+[0-9]+\/[a-z]+[0-9]+[a-z]+[0-9]+\/[a-z]+[0-9]+ また、サブドメインが 2文字という特徴があるので http:\/\/[a-z][a-z]\. だけでも良いかもしれません 他に User-Agent ヘッダに Mozilla/5.0 (Windows NT 6.1; WOW64; rv:45.0) Gecko/20100101 Thunderbird/45.2.0 が含まれている特徴もあります