RIG エクスプロイトキット
解析レポートNTT セキュリティ・ジャパン株式会社
2017/05/16

本レポートの目的
NTT セキュリティ・ジャパン株式会社のセキュリティオペレーションセンター（以下 SOC）は、グローバルにおけるお客様システムを 24 時間体制で監視し、迅速な脅
威発見と最適な対策を実現するマネージド・セキュリティ・サービス（以下 MSS） を提供しています。最新の脅威に対応するための様々なリサーチ活動を行い、その結果をブラックリストやカスタムシグネチャ、IOC（Indicator of Compromise）、アナリス
トが分析で使用するナレッジとしてサービスに活用しています。
SOC では 2016 年 9 月頃から「RIG エクスプロイトキット」を用いた攻撃を多く観測するようになり、効果的な対策を実施するための調査を行ってきました。本レポート
では、RIG エクスプロイトキットによる被害の防止や早期発見を目的として、調査で判明した攻撃手法やその特徴を技術者向けのホワイトペーパーとして公開しました。

1

概要
NTT セキュリティ・ジャパン株式会社の SOC では、2016 年 9 月頃から RIG エクス
プロイトキットによる攻撃を多く観測しました。RIG エクスプロイトキットはドライ
ブ・バイ・ダウンロード攻撃を行うためのパッケージの 1 つであり、改ざんサイトや不正広告から誘導され、マルウェアへの感染を引き起こします。本レポートでは、RIG エ
クスプロイトキットの攻撃コードで用いられる手法、攻撃サイトのドメインや IP アド
レスの特徴、エクスプロイトキットの販売動向について、以下のとおり調査した結果を報告します。

 過去に流行したエクスプロイトキットの攻撃コードを流用しているため、悪用される脆弱性は比較的古い。
 1 ヶ月あたり約 700 のドメインが新たに攻撃サイトとして利用されている。
 攻撃サイトで用いられる IP アドレスの 9 割以上がロシアに存在している。
 攻撃サイトで用いられる IP アドレスはドメインと比較して生存期間が長い。
 攻撃サイトと通信をする際の URL パラメータに特徴的な文字列が含まれている。
 攻撃者の間で、RIG エクスプロイトキット販売者、トラフィック販売者、攻撃依頼者という役割分担が行われており、エコシステムが形成されている。

また、付録に攻撃者サイトドメインを記載しております。感染防止や被害を受けた端末の発見などの対策にご活用ください。

2

1. はじめにドライブ・バイ・ダウンロード攻撃によりマルウェア感染に至る被害は後を絶ちません。ドライブ・バイ・ダウンロード攻撃とは Web サイトを介してブラウザなどの Web
クライアントに対して行われる攻撃です。攻撃は改ざんされた正規 Web サイトや不正広告の閲覧を起点に始まり、Web ブラウザ本体やプラグインの脆弱性を悪用してマルウェアをインストールします。
脆弱性を悪用してマルウェアをインストールさせるドライブ・バイ・ダウンロード攻撃のコードはエクスプロイトキットとしてパッケージ化して利用されており、年々新たに開発、改良され続けています。SOC では ANGLER エクスプロイトキットや RIG エク
スプロイトキットをはじめとする複数のエクスプロイトキットによる攻撃を観測してきました。
図 1 では、SOC がお客様に通知したエクスプロイトキットに関連するインシデント
における各エクスプロイトキットの割合を示しています。RIG エクスプロイトキットを利用した攻撃は 2016 年 9 月頃から活発になりました。幸いにも、悪用する脆弱性が古く爆発的なマルウェア感染の広がりは見せていませんが、今後新たな脆弱性を悪用する
攻撃コードが追加された場合に大きな脅威となる可能性もあるため、SOC では動向を注視しています。

図 1 エクスプロイトキットに関する通知における各エクスプロイトキットの割合

3

SOC では、エクスプロイトキットを用いた攻撃に関して、攻撃コードや URL／ドメイン／IP アドレスの分析に加え、アンダーグラウンドマーケットやフォーラムにおける動向も調査しています。本レポートでは、エクスプロイトキットの中でも目立って観測されている「RIG 4.0」や「RIG-v」と呼ばれるバージョンの RIG エクスプロイトキ
ットについての調査結果を共有します。
2 章では攻撃の全体像を示します。3 章では RIG エクスプロイトキットにおける誘導と攻撃の手法についての解析結果を示し、4 章では攻撃サイトのドメインや IP アドレスの特徴をまとめます。5 章ではアンダーグラウンドの動向調査について調査結果を紹介し、攻撃者側の役割分担について推測します。

4

2. 攻撃の全体像
本章では、調査結果から想定される攻撃の全体像を示します。RIG エクスプロイトキ
ットを利用した攻撃の全体像は図 2 の通りと考えられます。

図 2 RIG エクスプロイトキットを利用した攻撃の全体像

一般的なエクスプロイトキットと同様に、RIG エクスプロイトキットによる攻撃は改ざんサイトや広告へのアクセスを起点に開始します。これらのサイトにアクセスすると攻撃サイトに転送され、ブラウザなどの脆弱性を悪用する攻撃コードが送り込まれます。
端末に脆弱性が存在してこれが悪用された場合、最終的にマルウェアに感染します。3
章ではここで用いられる攻撃手法について、4 章では攻撃サイトについて説明します。

5アンダーグラウンドフォーラムを中心とした調査の結果から、こうした一連の攻撃の背景には表 1 のように攻撃者間での役割分担が存在し、エコシステムが形成されていると考えています。5 章でアンダーグラウンドの動向について調査した結果を示します。

表 1 攻撃者のエコシステムにおける役割
トラフィック販売者

閲覧者を指定された攻撃サイトへ誘導する。

エクスプロイトキット
販売者

攻撃サイトを運用し、攻撃コードやマルウェアを配布する。

攻撃依頼者

トラフィック販売者と攻撃依頼者に依頼料を支払い、転送とマ
ルウェアの配布を依頼する。

6

3. 攻撃コードの解析
本章では、2017 年 2 月中旬に観測された攻撃を例に各攻撃コードの解析結果を示します。攻撃の流れを図 3 に示します。①～⑤の各ステップでは、表 2 の処理が行われています。

図 3 RIG エクスプロイトキットにおける攻撃の流れ

表 2 RIG エクスプロイトキットによる攻撃の各ステップにおける内容
Step

説明

①

改ざんサイトや広告はユーザ端末からのアクセスを待ち受け、
RIG エクスプロイト
キットが設置された攻撃サイトに転送する。

②

攻撃サイトは JavaScript コードを送付し、ブラウザ判定を行い③へ進む。

③

攻撃サイトは 2 つ目の JavaScript コードを送付し、動作環境をチェックした後、脆弱性を悪用する攻撃を行う。また、並行して Flash ファイルを読み込ませる。

④

攻撃サイトは不正な Flash ファイルを送付し、脆弱性を悪用する攻撃を行う。

⑤③もしくは④で脆弱性の悪用に成功した場合、シェルコードを実行してマルウェアのダウンロードとインストールを行う。

7

以降では、改ざんサイトから攻撃サイトへの転送処理、攻撃サイトが送付する
JavaScript コード、攻撃用 Flash ファイル、シェルコードとマルウェアについて、それぞれ解析した結果を説明します。

8

3.1. 転送処理
改ざんサイトや広告からの転送処理は、ユーザ端末からのアクセスを攻撃サイトへ誘導するために行われます。RIG エクスプロイトキットが設置されたサイトに誘導するキャンペーンとしては Afraidgate や EITEST、
Pseudo-DarkLeech などが知られており、それぞれ転送方法や転送用コードの埋め込み方が異なります。
Pseudo-DarkLeech を例に、HTTP レスポンスに含まれる転送用コードを説明します。Pseudo-DarkLeech では、図 4 のように iframe タグを用いて転送をします。この
レスポンスを受け取ったブラウザは、iframe タグの src 属性に指定されているサイトに転送されます。なお、Pseudo-DarkLeech では、iframe タグは span タグに囲まれた領域で、前後に文字列を伴って挿入されていることが特徴です。

図 4 改ざんサイトに含まれる転送用の iframe タグ（Pseudo-DarkLeech の例）

93.2. JavaScript コード
今回解説する RIG エクスプロイトキットでは、攻撃サイトから 2 つの JavaScript
コードを送り込み、ユーザ端末上で実行します。これらの JavaScript コードは次の用途に利用されています。本節ではそれぞれの動作について解説します。

 Web ブラウザの判定 CVE-2013-2551 の悪用
 攻撃用 Flash ファイルの呼び込み

3.2.1. Web ブラウザ判定
最初の JavaScript コードに含まれる Web ブラウザ判定処理では、アクセス元 Web
ブラウザの種別を識別し、その結果に基づいて攻撃を次の段階に進めます。今回解析したコードでは、アクセス元の Web ブラウザが Internet Explorer である場合のみ、
JavaScript コード中に埋め込まれた URL に POST リクエストを送信 し、次のJavaScript コードを取得する仕組みとなっていました。
Web ブラウザの識別には 2 つの手法が用いられています。１つは User-Agent に着目した手法です。Internet Explorer だけでなく様々な種類のブラウザに対応できるよう実装されており、Internet Explorer であるかは文字列「MSIE」を含むか否かで判断されます（図 5）。

図 5 User-Agent に基づいた Web ブラウザ識別処理10

2 つ目はプラグインなどの機能に着目した手法です。ActiveXObject プロパティの存在有無や Internet Explorer に存在しない機能の有無を確認することでブラウザを識別します（図 6）。

図 6 ブラウザの実装に基づいた Web ブラウザ識別処理

２つの手法で識別した結果が同じであり、かつブラウザが Internet Explorer である
場合にのみ、JavaScript コード中に埋め込まれた URL に POST リクエストを送信します。2 つの手法での識別結果が異なる場合に POST リクエストを送信しないのは、Internet Explorer を模したクローラよるアクセスを防ぐためだと考えられます。

11

3.2.2. CVE-2013-2551 の悪用
POST リクエストに対するレスポンスには、2 つの script 要素による JavaScript コードが難読化されて埋め込まれています。難読化を解除すると、1 つ目の script タグでは CVE-2013-2551 を 悪 用 し た 攻 撃 が 行 わ れ て い る こ と が 分 か り ま す 。
CVE-2013-2551 は、COALineDashStyleArray のサイズに負の値を設定することで発生する整数オーバーフローの脆弱性です[1]。悪用することで最終的に任意コードの実行が可能となります。

実行環境の調査
脆弱性の悪用を開始する前に Web ブラウザの識別を 2 回行います。１回目の判定処
理では、User-Agent に文字列「msie」と数値が含まれるかを確認します。Internet
Explorer である場合のみ、攻撃に向けて次の処理に進みます（図 7）。

図 7 User-Agent を利用した Internet Explorer 判定

2 回目の判定処理では、User-Agent に含まれる文字列を用いて Web ブラウザのバージョンを確認します（図 8）。IE8、IE9、IE10 のいずれかであることが確認できた
場合のみ脆弱性の悪用を開始します。図 7 と図 8 において、同じ観点で 2 度も判定処理を行っているのは、2 回目の判定処理以降が既存のソースコードの流用であるためだと考えられます。

12

図 8 User-Agent を利用したブラウザバージョン確認

脆弱性の悪用脆弱性が存在する可能性のあるバージョンであることが確認された場合、dashstyle.array.length に負の値を代入し、脆弱性の悪用を開始します（図 9）。負の値が設定された場合、整数オーバーフローが発生し、配列が実際のサイズよりも大きな配列として認識されるようになるため配列を介して別オブジェクトのメンバ変数の書
き換えが可能となります。これを利用して、メモリの読み書きを行うオブジェクトが参照するアドレスを保持しているメンバ変数を書き換えることで、任意のアドレス空間を読み書きできるようになります[2]。

図 9 脆弱性を悪用する処理

13

シェルコードの実行
最後に、任意のメモリ空間の読み書きを行う仕組みを利用して OS のバージョンを確認し、OS のバージョンに合わせた ROP（Return Oriented Programming）チェーンを作成します（図 10）。この ROP チェーンでは、NtWriteVirtualMemory システムコールを用いてシェルコードに実行権限を与え、シェルコードを実行します。作成された
ROP チェーンは vtable オーバーライトにより実行され、シェルコードはマルウェアを
ダウンロードして実行します。

図 10 OS バージョンに合わせた ROP ガジェット選択

なお、脆弱性が古く攻撃の成功率が低かったためか、2017 年 3 月中旬からはCVE-2013-2551 で は な く 、 CVE-2016-0189 と CVE-2015-2419 を 悪 用 す る
JavaScript コードに変更されています。しかしながら、いずれの脆弱性についても過去に別のエクスプロイトキットが悪用していた脆弱性です。コードの類似性から攻撃者
は ANGLER エクスプロイトキットで利用されていたコードを流用していると考えられます。

14

3.2.3. Flash ファイルの呼び込み
POST リクエストに対するレスポンスに埋め込まれた 2 つ目の script タグには、難読化された JavaScript コードが埋め込まれており、これを解除すると脆弱性を悪用す
る Flash ファイルの読み込みを行うことが分かります。

図 11 Flash ファイルを呼び込む object

Flash ファイルを呼び込むため、DOM には Flash ファイルを読み込む object タグが追加されます（図 11）。その際、「movie」パラメータに Flash ファイルの取得元 URL、
「 FlashVars 」 パ ラ メ ー タ に マ ル ウ ェ ア 取 得 元 URL と マ ル ウ ェ ア の 復 号 鍵「gexywoaxor」、User-Agent が難読化された値が設定されます。設定される値の難読化前の具体例は図 12 のとおりです。

図 12 object タグを埋め込む処理の呼出し15

3.3. Flash ファイル
RIG エクスプロイトキットの Flash ファイルは、マルウェアのダウンロードおよび感染を引き起こすために用いられます。使用される脆弱性や難読化手法は検体によって異なりますが、一部の検体では Flash ファイル内のコードは DoSWF という商用ツールによって難読化されていました。本節では、RIG エクスプロイトキットの Flash ファイルがマルウェア感染を引き起こすまでの以下の 3 つの処理について難読化を解除した後のコードをもとに詳しく解説します。

① Flash ファイルが実行されている環境を調査する。
② 脆弱性をついて任意のコードを実行可能にする。
③ シェルコードを実行することで、マルウェア感染を引き起こす。

実行環境の調査
Flash ファイルでは、実際に脆弱性を悪用する前に実行環境が攻撃に対して脆弱であるかどうかを調査します。今回調査を行った検体について、Flash Player のバージョンを確認するコードを図 13 に示します。

図 13 Flash Player のバージョンを確認するコード

16また、OS のバージョンや Flash ファイルの実行形態を確認するコードを図 14 に示します。

図 14 OS および Flash の実行形態を確認するコードFlash ファイルのコードが実行されている環境がデバッグ環境であるなど、攻撃対象と想定している環境でない場合、脆弱性を悪用することなく攻撃を中止します。

17

脆弱性の悪用Flash ファイルのコードが実行環境を確認し、攻撃対象となる脆弱な環境であることが判明した場合、脆弱性を悪用する攻撃が行われます。今回解析した検体には図 15 に示すコードが含まれており、CVE-2015-8651 を悪用する攻撃を試みていました。

図 15 脆弱性のトリガーとなるコード

CVE-2015-8651 は、DomainMemory を扱う関数を用いた際に整数オーバーフロー
によって配列の長さの確認処理を回避できるという脆弱性で、悪用することでメモリの任意領域の読み書きが可能になります[3][4]。この脆弱性は攻撃の実装が容易でその後の攻撃にも繋げやすいためか、非常に長い期間使われており、過去 Angler エクスプロイ
トキットや Neutrino エクスプロイトキットにも利用されていました。現時点の RIG エ
クスプロイトキットにおいて、最も多く利用されている脆弱性となっています。

18

また、一部の検体では図 16 のように攻撃者のユーザ名と思われる情報がデバッグ情報として残っていました。

図 16 攻撃者のユーザ名に関する情報

シェルコードの実行脆弱性を悪用する攻撃が成功してメモリの任意領域の読み書きが可能になった後は、メモリ上にシェルコードの書き込みを行い、VirtualProtect 関数を用いて実行権限を付与した上で実行します。Flash ファイルで使用されるシェルコードは、Landing ページから渡された「iddqd」というパラメータと、ActionScript 内もしくはバイナリのデー
タとして埋め込まれた文字列を結合して作成されます（図 17）。

図 17 ActionScript 内に埋め込まれたシェルコードの断片

19

また、
VirtualProtect 関数のアドレスは図 18 のようにインポートされた kernel32.dll
から取得します。

図 18 kernel32.dll から VirtualProtect のアドレスを取得するコード

VirtualProtect 関数のアドレスを入手した後は、正規の ActionScript の関数のアドレスを VirtualProtect 関数のアドレスとシェルコードを設置したアドレスに書き換え、
その上でこれらの関数を呼び出すことで、VirtualProtect 関数による実行権限の付与とシェルコードの実行を行います。

20

3.4. シェルコード・マルウェア
脆弱性を悪用して実行されたシェルコードは、最終的に感染させるマルウェアをダウ
ンロードして実行します。ここでは、JavaScript コードと Flash ファイルで使用されたシェルコードの動作と、マルウェアがインストールされる処理について解説します。

シェルコードの内容
シェルコードは JavaScript コードと Flash ファイルに含まれていますが、どちらも共通のものが利用されていました。シェルコードは内包しているデータを 0x84 を鍵として XOR でデコードします（図 19）。

図 19 シェルコード中のデコード処理

その後、デコードされたコードに制御を移し、CreateProcess 関数を用いて図 20 に示すコマンドを cmd.exe の引数として実行します。

図 20 CreateProcess 関数の引数

21マルウェアのダウンロードと実行
シェルコードが実行する cmd.exe では、図 21 のような JScript コードを生成して、それを wscript で実行します。JScript コードでは、引数で指定された User-Agent を用いて URL にアクセスし、マルウェアをダウンロードします。その後、マルウェアがDLL 形式の場合には regsrv32.exe 経由で、EXE 形式の場合には cmd.exe 経由でマルウェアを実行します。RIG エクスプロイトキットで送り込まれるマルウェアには「DorkBot」や「Cerber」など多数のマルウェアが報告されていますが、SOC ではラ
ンサムウェア「Cerber」を最も多く観測しています。

図 21 マルウェアをダウンロードする JScript コード22

4. URL/ドメイン/IP アドレスの分析
攻撃サイトの URL やドメイン名、IP アドレスは、攻撃を受けた端末の早期発見や攻撃の防止において有益な情報となります。本章では、URL パターン、IP アドレスの地
理情報（GeoIP）、ドメイン命名規則、ドメインと IP アドレスの生存期間について調査した結果を記載します。なお、分析は 2017 年 1 月下旬～2017 年 3 月下旬にかけて
SOC で収集した攻撃サイト 1451 ドメインを対象として行いました。

4.1. URL パターン
「RIG 4.0」や「RIG-v」と呼ばれるバージョンの RIG エクスプロイトキットでは、URL に 2 つの特徴を持つことが確認されています。１つは検索エンジン Google など
で検索を行った際に付与される URL パラメータに似せたパラメータが付与されることです。もう 1 つは文字列「QMvXcJ」がパラメータの値に含まれることです。利用されるパラメータは不定期に変更が加えられますが、この 2 つの特徴は 2017 年に入ってからも変わっていません（表 3）。これらの特徴を検知するシグネチャを用意して攻撃サ
イトへのリクエストを IPS で遮断することや、プロキシサーバーのログを調査して攻撃を受けた端末を特定することが可能です。

表 3 攻撃サイトの URL の例
時期URL2017 年 1 月[domain]/?br_fl=2425&biw=Microsoft_Edge.119gz65.406e5m2m1&t
uif=4125&oq=m2ApPYoJeMFb1WzjECGLQVmzYhcUVMX_6GniEndzkKYh5CG
9BSEUTp1u9CVUbI&ct=Microsoft_Edge&q=wX3QMvXcJwDQDYbGMvrESLt
ENknQA0KK2I32_dqyEoH9cmnihNzUSkr26B2aC&yus=Microsoft_Edge.7
6qe95.406z9t3x3

2017 年 2 月[domain]/?tuif=1893&q=z3_QMvXcJwDQDoTGMvrESLtEMU_OHEKK2OH_7
83VCZr9JHT1vvHPRAP0tgW&biw=Microsoft_Edge.86cx116.406s3k3p6&br_fl=2855&ct=Microsoft_Edge&yus=Microsoft_Edge.72iq84.406
b3i2z4&oq=CegiF9_N8LedZNASzjhbWfQxhmthUBF8X_6imjEfWnxfKh5_R
9SW9UU4HupE2017 年 3 月[domain]/?ct=kulture&q=znnQMvXcJwDQDoLGMvrESLtEMUzQA0KK2OH_
766yEoH9JHT1vrXUSkrttgWC&oq=el6F9vMsKeBXPQHj30DTfgRknYsJUQ5
F__-p3USAyh7O1sWArhe9UToBvdeW&qtuif=4963

23

4.2. IP アドレスの地理情報（GeoIP）
RIG エクスプロイトキットが設置された攻撃サイトの IP アドレスの地理情報を
GeoIP で集計したところ、国別の割合に図 22 のように偏りが見られました。確認された 173 個の IP アドレスのうち、91%がロシアの IP アドレスです。攻撃基盤の大部分がロシアで利用されている IP アドレス空間に存在していることが分かります。

図 22 攻撃サイトの IP アドレスの国別統計

24

4.3. ドメイン命名規則
RIG エクスプロイトキットが設置された攻撃サイトのドメイン名を調査しました。名前解決の結果、ロシアの IP アドレスを返すドメインについてドメイン名に規則性が見られました。本節では、このドメイン名の命名規則について示します。

3rd レベルドメインの利用
ドメイン名は、「line.nurlelalomeilan[.]com」のように 3rd レベルドメインまで定義されたものが利用されていました。

文字列の偏り3rd レベルドメインについて集計をしたところ、「line」のような文字列が複数のドメインで利用されていることが確認できました。今回調査したドメインでは合計 394 種
類の文字列が利用されており、この内の 4 割が複数回利用されています。このことから、辞書的に 3rd レベルドメインを選択している可能性が伺えます。

25

ドメイン登録者
今回調査したドメインは全て 2nd レベルドメインでのみ whois 情報を参照でき、
3rd
レベルドメインはそのサブドメインであることが分かりました。一部の whois 登録情報は非公開となっているものもありましたが、確認できた 180 の登録者名について集計したところ、図 23 のように偏りがあることを確認しました。15 名の登録者だけでおよそ半数を占めています。

図 23 2nd レベルドメインの登録者割合

RIG エクスプロイトキットの攻撃サイトで使用されたドメインの登録者が保持する
今回の調査とは別の 2nd レベルドメインのリストを入手しました。このドメインに対して、サブドメインの候補リストから単語を付与して 3rd レベルドメインを生成した
ところ、過去に RIG エクスプロイトキットの攻撃サイトとして利用されていたという事例が複数ありました。

26

4.4. ドメインと IP アドレスの利用期間
ドメインと IP アドレスの利用期間について分析を行いました。図 24 は横軸を継続
時間、縦軸を割合とした累積比率です。ドメインと IP アドレスを比べると、IP アドレスの方がなだらかに増加しており、利用期間が長いことが分かります。例えば、比率が50%に達する期間を比較すると、ドメインの利用期間は約 50 分であるのに対し、IP
アドレスの利用期間は約 550 分となります。このため、ドメインだけでなく IP アドレスを利用してフィルタリングすることも効果的な対策だと言えます。

図 24 利用期間の累積比率27

ドメインを名前解決してドメインに紐づく IP アドレスを調査しました。各ドメインに紐づく IP アドレスは１つのみでしたが、多くのドメインが同じ IP アドレスに紐づいており、図 25 のように多対１の関係であることを確認しました。このことから、同じ
IP アドレスに対して複数のドメインを登録して使いまわしていることが分かります。

図 25 ドメインと IP アドレスの紐づき

28

5. アンダーグラウンドにおける情報収集
RIG エクスプロイトキットをはじめとする様々な攻撃ツールは、アンダーグラウンド
マーケットで取引が行われています。本章では、RIG エクスプロイトキットについてア
ンダーグラウンドで情報収集した結果を記載します。

5.1. エクスプロイトキットの売買
アンダーグラウンドマーケットでは、Web サイトを介してマルウェアやエクスプロ
イトキット、窃取されたアカウント情報、クレジットカード番号など犯罪に関わる攻撃
ツールや情報が取引されています。アンダーグラウンドマーケットにおける Web サイ
トは、検索エンジンやリンクから容易にアクセスできる Surface Web と呼ばれる空間
ではなく、表層的にはアクセスできない Deep Web や Dark Web と呼ばれる空間に多数存在しています。
攻撃ツールや窃取した情報を取引するためのフォーラムを調査したところ、RIG エク
スプロイトキットだけでなく、Beps エクスプロイトキットや Neptune エクスプロイ
トキットといった他の攻撃ツールも取引の対象となっていました。掲載された情報から、取引は以下のような手順で進むことが推測されます。

1. 販売者がエクスプロイトキットを販売するためのスレッドをフォーラムに作成し、エクスプロイトキットの概要や特徴、価格などを掲載する。
2. エクスプロイトキットに関心があるユーザはフォーラムのスレッドに返信する。
3. 攻撃者はフォーラムの DM（ダイレクトメッセージ）機能、Skype や XMPP などのメッセンジャーを利用して販売者と直接会話をし、エクスプロイトキットの詳
細や購入手続き方法を確認する。
4. 攻撃者は、指定された方法で購入手続きを行う。
5. 販売者がエクスプロイトキットの設置サーバに設定を投入する。

エクスプロイトキットは買い切り方式での販売ではなく、使用期間（1 日、3 日、1
週間、1 ヶ月など）を設けてサービスとして販売されています。販売価格はエクスプロ
イトキットによって異なりますが、多くは 1 週間で数百 U.S.ドル、1 ヶ月で数千 U.S.

29

ドルでした。フォーラムにはエクスプロイトキットの有用性を示すため、対応している
脆弱性の CVE 番号などエクスプロイトキットの機能が掲載されています。例えば、
Beps
エクスプロイトキットの場合、図 26 ように機能や脆弱性の CVE 番号、価格が書かれています。

図 26 Beps エクスプロイトキットの購入スレッド

30

エクスプロイトキットを利用した攻撃を成立させるためには、エクスプロイトキットが設置された攻撃サイトを用意するだけでなく、攻撃サイトにユーザを誘導する仕組みが必要です。ユーザからのアクセスを攻撃サイトに転送する仕組みとして、アンダーグ
ラウンドフォーラムでは改ざんサイトが「トラフィック」という名称で販売されています。トラフィックを販売しているフォーラムの一例を図 27 に示します。このトラフィ
ック販売サイトでは、攻撃サイトへの誘導を「LOADS」という単位としてカウントし、価格に応じた回数だけ誘導をしていると考えられます。

図 27 トラフィック販売スレッド31

5.2. 販売者からの情報収集
RIG エクスプロイトキットをはじめとする多くのエクスプロイトキットには、攻撃情報を管理するためのコントロールパネルが存在していますが、図 28 のように RIG エク
スプロイトキットのコントロールパネルのログインページには販売者の連絡先が記載されていました。そこで、攻撃者間で役割分担が存在してエコシステムが形成されていることを裏付けするため、RIG エクスプロイトキットの販売者にコンタクトして反応を伺いました。この対話から推測される内容を示します。なお、販売者とのやり取りは英語で行われましたが、ここでは和訳して掲載しています。

図 28 RIG エクスプロイトキットのコントロールパネルへのログイン画面

32

販売条件
まずは価格帯を確認しました。RIG エクスプロイトキットに関心がある旨を告げると次のような返信がありました。

<rig_xxxx@xxxxx.xxx> 1 週間 700、月 1700 だ

1 週間もしくは 1 か月分購入できるようです。この点は他のエクスプロイトキットや
過去の RIG エクスプロイトキットと同様です。後のやり取りから金額の単位は米ドルと推測されます。
次に、エクスプロイトの成功率や攻撃に使う CVE 番号など、RIG エクスプロイトキットのより詳細な情報を教えてもらえないか交渉しました。

<rig_xxxx@xxxxx.xxx> 1 日 100 ドルで試せる

残念ながら、実際にお金を払って試すよう促され、質問への回答は引き出せませんでした。エクスプロイトキットによっては、テスト利用は無料です。テスト利用にも価格が設定されているのは、本当に買う意思があるのか、ふるいにかけているのだと考えられます。

販売者の素性
攻撃サイトの GeoIP がロシアに偏っていることから、ロシアに近しい攻撃者である可能性が高いと考えられました。そこで、ロシア語でのコンタクトも試みました。残念ながらロシア語での問いかけに対する返信は得られませんでしたが、ログオフ時に表示される 「Прямо сейчас меня здесь нет（離席中）」というステータスコードから、
言語設定がロシア語に設定されている OS を攻撃者が利用していることが確認されました。

33

攻撃のエコシステム
エコシステムを明らかにするため、RIG エクスプロイトキットを買うだけでマルウェ
アをばらまくことができるのか質問しました。

<rig_xxxx@xxxxx.xxx> トラフィックと Rig EK さえあればいい

この回答から、RIG エクスプロイトキットが設置された攻撃サイトにユーザを誘導する「トラフィック」を RIG エクスプロイトキットとは別に購入する必要があることが分かります。また、その後のやりとりで「トラフィック」の販売事業者を紹介されました。これらのことから、RIG エクスプロイトキットにおいてもエクスプロイトキットの販売者、「トラフィック」販売者、攻撃依頼者は別に存在していることがわかります。

34

6. おわりにNTT セキュリティのセキュリティオペレーションセンターでは、インシデント発生の防止、インシデント発生時の早期発見のためのリサーチ活動を行っており、エクスプ
ロイトキットについても継続的に調査を行っています。本レポートでは、RIG エクスプ
ロイトキットに関する調査結果をまとめました。
調査の結果、現在の RIG エクスプロイトキットは過去に流行したエクスプロイトキットの攻撃コードを流用しており悪用される脆弱性が古いこと、攻撃サイトの IP アド
レスはドメインよりも長い期間利用されることが明らかとなりました。また、攻撃者の間でエクスプロイトキット販売者、トラフィック販売者、攻撃依頼者という役割分担が存在していることなど、エコシステムが形成されていることが見えてきました。
RIG エクスプロイトキットによってもたらされるリスクを低減するには、以下のような対策が有効です。

 OS やアプリケーションを最新の状態に維持する。
 ブラウザのプラグインのインストールは最小限に留める。
 アンチウイルスソフトウェアのウイルス定義ファイルを常に最新の状態に保つ。
 プロキシサーバーやファイアウォールにてアクセス制御を実施する。
 プロキシサーバー等のログから RIG エクスプロイトキットで見られる特徴的な文字列を含む URL へのアクセスがないかを確認する。

また、付録に攻撃に利用されたドメイン名と IP アドレスを記載しましたので、対策にご活用ください。

35

7. 本レポートについて
レポート作成者
NTT セキュリティ・ジャパン株式会社
幾世知範、磯侑斗、小寺博和、永井信弘

レポート責任者
NTT セキュリティ・ジャパン株式会社
横山恵一

履歴2017 年 5 月 16 日（ver1.0）: 初版公開

36

8. 参考文献[1] RAPID7, “MS13-037 Microsoft Internet Explorer COALineDashStyleArray
Integer Overflow”, https://www.rapid7.com/db/modules/exploit/windows/browser/ms13_037_svg_dashstyle[2] VUPEN, “Advanced Exploitation of Internet Explorer 10 / Windows 8 Ov
erflow (Pwn2Own 2013)”, http://www.vupen.com/blog/20130522.Advan
ced_Exploitation_of_IE10_Windows8_Pwn2Own_2013.php[3] Antiy PTA Team, “An Analysis on the Principle of CVE-2015-8651”, http://www.antiy.net/p/an-analysis-on-the-principle-of-cve-2015-8651/[4] Rotem Salinas, “RIG EK - Chronology of an Exploit Kit”,
https://community.rsa.com/community/products/netwitness/blog/2017/0
2/01/rig-ek-chronology-of-an-exploit-kit

37

9. 付録
今回の調査で使用した RIG エクスプロイトキットの攻撃サイトドメインと IP アドレス（1 月下旬～3 月下旬）を以下に示します。

ドメイン
0day.duplixsa[.]com
1add.builtbylocalventures[.]info
1add.jsproducciones[.]com
1art.neighbourhoodreunions[.]net
1day.bountifulherbs[.]net
1day.flyovernewyork[.]today
1day.fredthegreenalien[.]com
1fds.eastcoastpallets[.]com
1free.careerparade[.]com
1ice.sellfloridahomes[.]com
1new.sensorigames[.]net
1new.sensorispace[.]com
1one.thefuture[.]careers
1page.truenorthadvisers[.]com
1qwe.decadentdietitian[.]com
1qwe.thedresdencowboys[.]com
1qwe.yanaimark[.]com
1red.searadiance[.]me
1rew.balletfolkloricodenicaragua[.]com
1rew.floridawholesaleproduce[.]com
1rew.latijeradeoronic[.]com
1rew.neighbourhoodreunion[.]com
1rew.stevyerose[.]com
1top.cpamarketingmedia[.]com
1top.kidsonthestreet[.]net
1war.kathrynjaliman[.]com
1wer.ledbottlelight[.]com
2day.savemiami[.]today
2dsa.lmbtsi[.]net
2ewq.lmbtechservices[.]us
2pac.lubrinicsa[.]com
3fds.tbsistemas[.]com
3rew.nicacomercial[.]com
3top.leecrisman[.]com
3tre.sicafnicaragua[.]com
4age.kidsonthestreet[.]net
4new.careerstories[.]wiki
4you.creativesk[.]com
4you.johnreneaud[.]com
4you.savelasvegas[.]today
7days.sensorigames[.]com
aaa.foodtruckfoodies[.]com
aaa.momshealthymeals[.]com
aaa.yoncalisuites[.]com
aab.guralcini[.]info
abb.glenoakscare[.]com
acc.africanfood[.]coacc.allthingsnightlife[.]com
acc.buycellulitetreatments[.]com

line.askfortime[.]com
line.bermudaweddings[.]net
line.bursts[.]tv
line.designer4less[.]net
line.dormancareer[.]com
line.elizabethlocksmith[.]net
line.filmbento[.]com
line.gurugranny.co[.]uk
line.hi5oil[.]com
line.napasolutionskit[.]com
line.nurlelalomeilan[.]com
line.plaza57appraisals[.]com
line.rings4engagement[.]com
line.securitylocksmithbloomingdale[.]info
line.thebestchicagolawyers[.]com
line.thebestdenverrealtors[.]com
line.trappist[.]in
line.vervejewellery[.]com
list.andabeautyme[.]com
list.californiayardpro[.]com
list.dietdtozym[.]com
list.dormanhybrid[.]com
list.howtosolveprematureejaculation[.]com
list.iwishsomeonemadethis[.]com
list.locksmithrogerspark[.]info
list.prestigelocksmithbatavia[.]info
list.ship[.]net
list.thebesthoustondentists[.]com
list.thewakedoctor[.]com
list.werledlighting[.]com
list.whittierdentista[.]com
lock.askcxo[.]com
loi.bestrolexstore[.]com
lol.acemedicalsafety[.]com
lol.andrewcampbellmd[.]com
lol.medlaw[.]media
lol.millenium2x[.]com
lol.over60[.]biz
lol.temmuz15[.]com
lola.dutapremata[.]com
lolq.mobilmahalle[.]com
long.southpadrewatersports[.]com
lost.tapaksuci[.]org
love.ferahh[.]com
lsl.guralcini[.]com
lsl.lyima[.]com
luke.eraqua[.]com
made.formliving[.]us
mail.mobildugun[.]com

38

acc.chonehome[.]com
acc.classicoils[.]in
acc.cnncconstructores[.]com
acc.dadskitchen[.]in
acc.davebowman[.]com
acc.davelexe[.]com
acc.dealsandinfo[.]com
acc.dealsigot[.]com
acc.dentalko[.]com
acc.floridapowerwash[.]com
acc.hellopalmbeachgardens[.]com
acc.illuminationsled[.]com
acc.isleofwightawards[.]info
acc.iwishsomeonemade[.]com
acc.jewelrymarket[.]org
acc.leerosenbloomexpertappraiser[.]com
acc.linkedinleverage[.]ca
acc.localtechstop[.]net
acc.locksmithlakezurichil[.]info
acc.mauryapigments[.]in
acc.mobilalibey[.]com
acc.mobilpet[.]com
acc.momshealthymeals[.]in
acc.northsidechicagolocksmith[.]info
acc.oursavioronline[.]com
acc.pmnicaragua[.]com
acc.scbchannel[.]com
acc.selfieoptical[.]com
acc.smartpettags[.]org
acc.tericadieux[.]com
acc.thebestchicagorestaurants[.]com
acc.thebesthoustoncardealers[.]com
acc.thebestofdallasdirectory[.]com
acc.thebestwichitahomeimprovementpros[.]com
acc.vernonhillslocksmithguys[.]info
acc.yourdigitalplumber[.]us
act.50lbsboson[.]com
act.adtrafficbrokers[.]com
act.advancenpa[.]com
act.ampproto[.]com
act.baliromantictour[.]com
act.crystaljewelry[.]biz
act.femse[.]com
act.funycoloring[.]com
act.gohyperlink[.]com
act.huehuetl[.]com
act.illuminationsled[.]lighting
act.loseyourweightnaturally[.]com
act.microdermabrasionnyc[.]com
act.obamapower[.]com
act.opencomputinginstitute[.]com
act.parkmego[.]us
act.raterescue[.]com
act.thebestdenverdoctors[.]com
act.twoocomms[.]com
act.vrundavaninfra[.]com
act.weddingindustry[.]biz
act.weightlossclinicsofne[.]com
add.1800meetings[.]com
add.aadavamoorthy[.]com

mail.mobilkavanoz[.]com
mail.wames[.]xyz
main.excelbuldingconstruction[.]com
main.jaliman[.]com
main.lynntest[.]us
main.sitetrafficbrokersadexchange[.]com
main.underinsuredinamerica[.]org
marfa.cholesterolwatchers[.]net
mark.dormanhelp[.]com
mark.landscapingut[.]com
may.accesscxo[.]com
may.thebestdenverlawyers[.]com
may.thedigitalplumber[.]net
may.wholesalewatchesnyc[.]com
ment.formpools[.]us
menu.plazasportsexchange[.]com
mix.balicampingadventure[.]com
mix.thefinestinn[.]com
mobi.mobilegurok[.]com
mobile.mobillenmek[.]com
mode.powerofwhen[.]net
more.1on1videos[.]com
more.monthlysaleskit[.]com
more.pushurgrafix[.]com
more.sitetrafficbuilders[.]com
more.thebestdallasflorists[.]com
more.walkforwomen[.]com
most.azbefirst[.]com
most.dormanradio[.]com
most.igniterreviews[.]com
most.kodaikanal[.]info
most.majalahkuliner[.]info
most.napasdgdownload[.]com
most.rawfoodartist[.]com
muse.napakeylessremotes[.]com
my.mytintype[.]com
name.africanamericanartifacts[.]com
name.bellofpeace[.]org
name.bestrolexstore[.]com
name.pennypincherboutique[.]com
name.thediscoveredartist[.]com
nano.bountifulhealth[.]org
near.nationallocksmithchicago[.]info
need.9jamoviez[.]com
need.drjaliman[.]com
need.filmbento[.]com
need.hondaniagaredja[.]com
need.istanabutik[.]com
need.locksmithlakezurichil[.]info
need.southpadreforsale[.]com
need.stepstowellnessvt[.]org
never.alexagift[.]com
new.4u-insurance[.]com
new.50lbboson[.]com
new.abbyknight[.]net
new.admastersagency[.]com
new.amertasarihotel[.]com
new.arkadash[.]com
new.askgrannyshop[.]com
new.atransmission[.]info

39

add.accounting-soln[.]com
add.adtrafficbrokeradexchange[.]com
add.andrewmelbourne[.]com
add.armorlocksmithlombard[.]info
add.bathroom-one[.]com
add.bhimappindia[.]com
add.bloomscenter[.]com
add.buycelluliteremoval[.]com
add.chicagolandarts[.]org
add.classstamps[.]in
add.cmlib[.]org
add.dormanadvancetraining[.]com
add.everythingabout[.]istanbul
add.francejobsemplois[.]com
add.glencoelocksmithil[.]com
add.gogreenleddistributors[.]com
add.gurallarcini[.]info
add.honestdentistry[.]com
add.idolgot[.]com
add.kidsonthestreet[.]com
add.lexomate[.]com
add.lmbts[.]us
add.localtechstops[.]com
add.logansquarelocksmithchicago[.]info
add.lvgoldenknightsfan[.]com
add.lynch-eng[.]com
add.masmediasolutions[.]com
add.membersitestudio[.]com
add.momcooks[.]in
add.mtweddingdj[.]com
add.napakeylessremote[.]com
add.nasreddinhocanintorunlariyiz[.]com
add.natchat[.]org
add.neighborhoodreunions[.]net
add.ny57[.]com
add.onlinehairbrain[.]net
add.ooxxlife[.]com
add.parkmego[.]com
add.penny-pincher-store[.]com
add.playfree[.]in
add.private-meeting[.]com
add.quickfillbottle[.]com
add.racksbook[.]com
add.shaverfresh[.]com
add.superiormortgageservices[.]us
add.tamracafe[.]com
add.tas-goodiebag[.]com
add.thebestatlantalawyers[.]com
add.thebestdenvercardealers[.]com
add.thebestofatlantadirectory[.]com
add.thebestwichitarealtors[.]com
add.thedigitalplumber[.]us
add.thenightbe420[.]com
add.thepowerofwhenblog[.]com
add.truthabs[.]org
add.tw-communications[.]com
add.uhomemo[.]com
add.vfcarsblog[.]com
add.werrew[.]club
add.werrew[.]xyz

new.awesomezoe[.]com
new.azflipbook[.]com
new.bactol[.]conew.bloomscenter[.]com
new.bountifulherbs[.]org
new.chatarazzi[.]com
new.darrenslocksmithwoodridge[.]info
new.dormankeylessremotes[.]com
new.dragonshide[.]com
new.earthwi[.]com
new.eightmileoutlet[.]com
new.excelbldgconst[.]com
new.find-out-first[.]com
new.fkfadrank[.]com
new.gellinwithjess[.]com
new.hjx4yz[.]xyz
new.ibscatalog[.]com
new.iloveu[.]istanbul
new.irrationedcare[.]net
new.jolu[.]info
new.lkdjs[.]club
new.locksmithlincolnshireil[.]com
new.mari-y-juana[.]com
new.meraparivar[.]com
new.mexicotrabajobs[.]com
new.mindsandvines[.]com
new.mobildamat[.]com
new.muebleutil[.]com
new.myob-network-solutions[.]com
new.napaideacontest[.]com
new.napamediumduty[.]com
new.noorship[.]com
new.nutrangnu[.]com
new.paysimple[.]in
new.pennypincherconsign[.]com
new.pokemon-indonesia[.]com
new.rightwaywealth[.]com
new.rochetjewelry[.]com
new.rolex57[.]com
new.saj[.]life
new.serviceslafontant[.]ca
new.southpadrestyle[.]com
new.superwateroff[.]com
new.theagingbusiness[.]com
new.thebestdallasdoctors[.]com
new.thebestseattledoctors[.]com
new.thiscelebstopicss[.]com
new.traknreturn[.]com
new.truthabs[.]org
new.universitieslive[.]com
new.woodengardenfurniture[.]info
news.1on1time[.]com
news.aripekawest[.]com
news.cpamarketingmedia[.]com
news.samanthalodge[.]com
news.utahlanddesign[.]mobi
next.allaboutthepitch[.]com
next.backlinkgaib[.]com
nice.agendabid[.]com
nice.elmonteplaza[.]com

40

add.wheelinglocksmiths[.]org
add.womenrise[.]org
add.wujic[.]com
adm.utdgbs[.]org
admin.burns[.]solutions
admin.cafeilnido[.]ca
admin.dormankeystowellbeing[.]com
admin.eightmileoutlet[.]com
admin.iwishsomeonemadethat[.]com
admin.mrgayphotos[.]com
admin.pennypincherconsignment[.]com
admin.researchfordesign[.]com
admin.samantech[.]com
admin.sanuthi[.]com
admin.sellsettlement[.]org
admin.utlandscape[.]com
admin.weareherefoundation[.]com
admin.weareherefoundation[.]org
aet.truestreetcar[.]com
ain.theprimitivefold[.]com
air.firsttwochapters[.]com
air.picoriveradentista[.]com
air.searadiance[.]info
air.spacexlaunchcam[.]com
ak.nasrettinhocanintorunlari[.]com
all.armorlocksmithwilmette[.]com
all.dormanhangers[.]com
all.humblecollection[.]com
all.kodaikanal[.]org
all.logansquarelocksmithchicago[.]info
all.thebestofdenverdirectory[.]com
all.watchtradenyc[.]com
all.woodfurnituregarden[.]com
alt.crisis2resilience[.]com
america.folkartinamerica[.]com
amway.utahlandesign[.]com
around.minordeals[.]com
around.thesleep[.]doctor
art.50poundboson[.]com
art.agoodmeeting[.]com
art.ahawaterlesscarwash[.]com
art.allthin[.]gs
art.allthingsmp3[.]com
art.artbrutamerica[.]com
art.askagranny[.]com
art.balkampguide[.]com
art.bisoncs[.]com
art.carondeletevents[.]com
art.checkitout[.]news
art.come4[.]istanbul
art.crazyinlove.co[.]uk
art.dormanhdsolutions[.]com
art.enclavealf[.]com
art.homedesignhunter[.]com
art.jimmagesblog[.]com
art.joecornellweddings[.]com
art.kidsonthestreet[.]com
art.kimochivapestore[.]com
art.larryslocksmithhighlandpark[.]info
art.learntoridemotorcycle[.]com

nice.medlucense[.]info
nice.nyccoolsculpting[.]com
ninjap.ninjaplumbing[.]com
node.ontarioparadise[.]com
none.thethirtyminuteworkday[.]com
none.utlandscape[.]com
now.guralcini[.]com
now.internet-marketing-forum[.]info
now.mobilakp[.]com
now.plazawatchandjewelryexchange[.]com
now.pooldecksealer[.]com
oko.efsune[.]com
oko.mobillav[.]com
old.adamslocksmithlakeforest[.]info
old.aspinrealty[.]info
old.awokoya[.]com
old.builtbylocal[.]info
old.dormandiesel[.]com
old.furnituregardenteak[.]com
old.igniterreviews[.]net
old.jaliman[.]com
old.kerjabakti[.]com
old.leeplaza57[.]com
old.nycfatfreeze[.]com
old.southpadreislandhotspots[.]com
old.thebestdallasdentists[.]com
old.uocodac[.]com
olol.mobildin[.]com
ololo.outsiderartinamerica[.]com
omg.dietdtozym[.]com
omg.fitmentormd[.]com
omg.killingmedicine[.]net
omg.leanadvisormd[.]com
omg.medparency[.]net
omg.schiva[.]com
omg.tasialtin[.]com
omg.uninsuredamerica[.]us
one.drjaliman[.]com
one.jakesflowers[.]com
one.motherlodewebdesign[.]com
one.overnightsuccess[.]life
one.tammrah[.]com
opa.turkiye2075[.]com
open.medlucency[.]info
open.vanquishny[.]com
opt.killingdoctors[.]net
option.leerosenbloomplazawatch[.]com
orf.marksbroslocksmithromeoville[.]infoorg.9jamovie[.]com
org.admastersagency[.]infoorg.agendaconnect[.]com
org.aspinrealty[.]com
org.elitelocksmithchicagoil[.]net
org.mobilchp[.]org
org.nationalpediatricsleepfoundation[.]org
org.vanquishnyc[.]org
ost.beautyandthebride[.]info
ost.codes4women[.]com
ost.dailyapplenutrition[.]com
ost.dormanhooks[.]com

41

art.levvi[.]com
art.linkedepiphany[.]com
art.locksmithcarolstream[.]info
art.plutoradiomusiccafe[.]com
art.ryanfebner[.]com
art.searadiance[.]us
art.tammarah[.]com
art.thebestchicagohomeimprovementpros[.]com
art.thebestofchicagodirectory[.]com
art.tianqiao[.]com
art.vervejewellery[.]com
as.myfatreductionmd[.]com
asa.coiffureconcierge[.]com
asa.thebestchicagoflorists[.]com
asc.avalon-asics[.]com
asd.angelveneers[.]com
asd.bedroomforgirls[.]com
asd.benjaminbrotherspurchasing[.]com
asd.codes4men[.]com
asd.couponsad[.]com
asd.gepgenc[.]org
asd.gurallarcini[.]net
asd.hermina[.]com
asd.izrada-seminarskih[.]com
asd.kruegerhealthcare[.]com
asd.learncourses[.]com
asd.localgeniuses[.]com
asd.localgeniuses[.]us
asd.mobilelapis[.]com
asd.nammspa[.]com
asd.simplefitmd[.]com
asd.thebesthoustonflorists[.]com
asd.thelocaltechstops[.]com
asd.timbatots[.]com
asd.uninsuredamerica[.]com
asd.yoncaliapart[.]com
asv.c-nx[.]com
asv.searadiance[.]ca
asv.thebestchicagodentists[.]com
back.chipgalloway[.]org
bag.mopski[.]net
bbc.examsforless[.]com
bbc.killinghealth[.]com
bbc.medlawmedia[.]com
bbc.oceanglo[.]com
bbc.searadiance[.]fr
bbc.trashoutservices[.]com
bbc.ufound[.]org
bbc.whiteflowerdental[.]com
bee.neighborhoodreunions[.]org
begin.1on1video[.]com
begin.formliving[.]build
ben.implantforless[.]com
ben.searadiance[.]it
best.amertasarihotelbali[.]com
best.bestthingsinliferfree[.]com
best.mobilchp[.]org
best.neighborhoodreunion[.]com
best.sevending[.]com
bestdoosales[.]clubostin.pilotdietmd[.]com
out.hinsdalelocksmithil[.]com
owa.wdhyk[.]xyz
page.formpools[.]org
page.neighborhoodreunions[.]org
park.hospitality-health[.]us
park.killingmedicine[.]org
park.medlawtalk[.]tv
park.rbwservices[.]com
part.getnewideas[.]com
part.thebestwichitalawyers[.]com
past.dormandecorativehooks[.]com
past.overnightsuccess[.]solutions
plu.ninjaplumbers[.]com
popa.mobilegca[.]com
port.accidentsinjurylawyer[.]com
port.dormanaz[.]com
port.friendswoodworkshop[.]com
port.trafficbadgeradex[.]com
portal.wdhyy[.]xyz
post.askcios[.]com
post.aspinrealty[.]net
post.brusapet[.]com
post.estimatecar[.]com
post.gurallarcini[.]com
post.jeep-sucks[.]com
post.whycantisleepquiz[.]net
power.whycantisleepquiz[.]org
price.killingmedicine[.]com
price.leeplaza57[.]com
price.theplayingbay[.]com
profit.shapeinspirationmd[.]com
pups.born4greatness[.]com
qaz.iyiliketiyilikbul[.]net
qwe.1516temmuz[.]com
qwe.builtbylocalventures[.]info
qwe.buzdag[.]com
qwe.dagca[.]com
qwe.inanmiyorum[.]com
qwe.mobilcalisan[.]com
qwe.mobilerkek[.]com
qwe.thebesthoustonhomeimprovementpros[.]com
qwe.umudum[.]org
qwe.youniquebyvera77[.]com
ray.desainrumahminimalis[.]net
ray.jsyyxh[.]com
read.utahlanddesign[.]biz
ready.plazacollectibles[.]com
real.designer4lessbyveraboutique[.]com
real.lilboot[.]com
real.ravenswoodcoworking[.]com
real.uppercrustdate[.]com
rec.enrolo[.]ga
rec.goldenknightsfan[.]com
rec.gudangkeramik[.]com
rec.jaiatlanta[.]com
rec.socialmediaspice[.]com
rec.thebestwichitacardealers[.]com
rec.werledlight[.]com
red.11meetings[.]com

42

better.acceptmeeting[.]com
bev.southpadrejetskis[.]com
bfd.canaan-creative[.]com
big.dentalinvestment[.]com
bio.guralcini[.]net
bio.naturantibiotic[.]com
biz.21eastboulevard[.]com
biz.easythinmd[.]com
blank.sitetrafficbuilders[.]info
blog.medlawinc[.]com
blog.wames[.]xyz
blue.gepgenc[.]com
bnb.killingphysicians[.]net
board.rbrfb[.]com
board.rhrwh[.]com
board.rkrbk[.]com
books.formoutdoors[.]info
born.southpadresunset[.]com
build.healthleadermd[.]com
buy.dormanguide[.]com
buy.linkedhero[.]com
buy.myfuturestories[.]com
buy.southpadreweddings[.]com
buy.vcsenterprises[.]in
buy.wellfitmd[.]com
buy.whitecoatlies[.]com
cafe.ilnido[.]ca
calm.2ndhandsleepiness[.]com
calm.thebusinessofageing[.]com
car.aljazeeratrade[.]com
car.physicianscollective[.]org
car.welldietmd[.]com
card.floridawholesaleproduce[.]com
card.futurebluesky[.]com
card.powerofwhen[.]org
card.prescriptionsforbeauty[.]com
card.stevyerose[.]com
card.thesleepdoctor[.]foundation
cash.docshock[.]us
cast.rednationrising[.]tv
cdn0.vjv4[.]xyz
cdn1.vjv5[.]xyz
cdn1.vjv6[.]xyz
cdn1.vjv7[.]xyz
cdn2.vjv4[.]xyz
cdn2.vjv5[.]xyz
cdn2.vjv7[.]xyz
cdn3.vjv4[.]xyz
cdn3.vjv7[.]xyz
cdn4.vjv7[.]xyz
cdn6.vjv7[.]xyz
cdn7.vjv7[.]xyz
cdn8.vjv7[.]xyz
cedra.myhealthnwellnesswatchers[.]com
celebrate.mrgaywedding[.]com
chouse.mobilulker[.]com
cobra.liveathomecare[.]ca
code.yourpillowunlocksyourpotential[.]com
cold.sleepdoctor[.]foundation
com.wellness-breakthroughs[.]com

red.adtrafficbroker[.]com
red.algonquinlocksmithil[.]info
red.andrewmelbourne[.]net
red.askforacause[.]com
red.backlinkgaib[.]com
red.buycelluliteremoval[.]com
red.ebeautifulwedding[.]com
red.imakehomehappen[.]com
red.jas-news[.]com
red.johnvaux[.]com
red.lynch-engineering[.]com
red.mapalocksmith[.]com
red.megapartida[.]com
red.ryanebner[.]tv
red.southpadrebeachresort[.]com
red.tapaksuci[.]org
red.thebestofhoustondirectory[.]com
red.utahlanddesign[.]us
red.water-off[.]com
red.weddingjewelryplace[.]com
red.wsinew[.]com
reg.dormanpicturehangers[.]com
rem.elasu[.]com
remote.wames[.]xyz
rent.istanabutik[.]com
rent.keylessremotecase[.]com
rent.sleep[.]school
rest.1hourmeeting[.]com
rest.agendaauction[.]com
rest.chicagolocksmithillinois[.]info
rest.floridarealestateservice[.]com
rest.napasolutionschat[.]com
rest.thedecadentdietitian[.]com
rest.whomovedmyhealthcare[.]net
rest.whycantisleepquiz[.]info
retro.southpadreislandnorth[.]com
rew.50lbsboson[.]com
rew.50poundboson[.]com
rew.a1locksmithcarolstream[.]info
rew.arabicfoody[.]com
rew.bdwtesting[.]net
rew.campuscaperz[.]com
rew.cherrybeautydepot[.]com
rew.chicagolandchorus[.]com
rew.classstamps[.]com
rew.dietingplan[.]org
rew.discountdrexelheritagefurniture[.]com
rew.grannyguru.co[.]uk
rew.lafontant[.]services
rew.lifewhyspers[.]org
rew.lmbtsi[.]com
rew.localtechstops[.]info
rew.martyandelayne[.]net
rew.paydear[.]in
rew.skinrules[.]org
rew.softalko[.]com
rew.stampsexpo[.]com
rew.strollergrips.co[.]uk
rew.strollerhandlegrips[.]com
rew.superiormortgageservices[.]us43

come.firsttostock[.]com
conf.mrtintype[.]com
cong.dogamin[.]com
console.buttprintz[.]com
control.mobillapishan[.]com
cure.neighbourhoodreunion[.]com
cust.formliving[.]com
cust.neighborhoodreunion[.]org
cust.utahlanddesign[.]org
custom.jalimanmd[.]com
cvb.killinghealth[.]us
cvb.michaelandrito[.]com
cvb.ulohapp[.]net
cxz.futurejoe[.]com
cxz.garagedoorsetc[.]us
cxz.happysweets[.]in
cxz.jimmylocksmithhanoverparkil[.]info
cxz.localgeniuses[.]net
cxz.suttonsite[.]com
daf.mobilguzellik[.]com
damn.guralin[.]com
damn.gurallarcini[.]org
damn.killingdoctors[.]us
damn.medlawpress[.]com
damn.mobilegurallar[.]com
dark.searadiance[.]coday.1on1auction[.]com
day.haymakersonline[.]com
day.intanproperti[.]com
day.mesotheliomasymptons[.]com
dbns.kutahya2043[.]info
dcc.gillianmcknight[.]com
dder.aizona[.]com
desk.thegooddoctorbook[.]net
dfg.allthingsbackpacker[.]com
dfg.grandparentspresents[.]com
dfg.o2thief[.]com
dfg.stickneylodge[.]com
dfg.sunsetalpacas[.]com
dfg.taffconstructioninc[.]com
dfg.twitttwoo.co[.]uk
dir.africanamericanphotos[.]com
dlba.2tca[.]xyz
dlba.2tcb[.]xyz
dlba.2tcd[.]xyz
dlba.2tce[.]xyz
dnb.guralcini[.]org
dns.15july16[.]com
dns.anlayamiyorum[.]com
dns.appraisecoinsnyc[.]com
dns.dietgurumd[.]com
dns.easytrimmd[.]com
dns.fahsy[.]com
dns.guraqua[.]com
dns.medlu[.]org
dns.mobildoga[.]com
dns.mobilgural[.]com
dns.mobilhr[.]com
dns.mobilmhp[.]org
dns.moorman[.]media

rew.terrigenesis[.]com
rew.thebestseattledentists[.]com
rew.thebookingsites[.]com
rew.thecareerwhysperer[.]com
rew.thecutestdogs[.]com
rew.traysofdeceit[.]com
rew.triper[.]cc
rew.twardpr[.]com
rew.uniontrailer[.]com
rew.westridgelocksmithchicago[.]com
rew.youreinchargeofyou[.]com
rty.enjoyabudhabi[.]com
rty.freebiesfortheover60s[.]com
rty.taffconstruction[.]com
rty.ulohapp[.]org
safe.nap-a-latte[.]com
sale.dormanmarketing[.]com
sav.bhimindia[.]in
save.leerosenbloomexpertappraiser[.]com
scs.apool[.]com
sdf.braesidedesign[.]com
sdf.citywidelocksmithelmhurst[.]info
sdf.discountsfortheover60s[.]com
sdf.grandparentstwitter[.]com
sdf.learnafrobeats[.]com
sdf.maxperformancecourse[.]com
sdf.michigangc[.]com
sdf.ownitventures[.]net
sdf.sotograndepenthouses[.]com
sdf.ttgconsultants[.]com
sea.searadiance[.]it
search.lilymodern[.]info
sec.sadarhukum[.]com
see.5ldn[.]com
see.adtrafficmasters[.]com
see.aliharperweddings[.]com
see.allthingsaustralia[.]com
see.amp4mobile[.]com
see.askamummy[.]com
see.bulentugur[.]com
see.chairblue[.]com
see.clicklinkto[.]info
see.cooljourney[.]com
see.cooperstownjewelry[.]com
see.darkwing[.]cosee.davidawokoya[.]com
see.dormanbrand[.]com
see.elitelocksmithchicagoil[.]net
see.enrolo.co[.]uk
see.ephoto[.]net
see.fbs-id[.]com
see.foreveryourstattoogallery[.]com
see.formoutdoorliving[.]net
see.freetorqueposter[.]com
see.garagedoorsetc[.]us
see.go2link[.]biz
see.golla[.]cosee.helloforfriends[.]com
see.hiddenspringsvilla[.]com
see.incomemonkey[.]com

44

dns.mrstintype[.]com
dns.yoncalihotels[.]com
dnsq.leerosenbloomplaza[.]com
dog.lostnfoundphotos[.]com
domain.dietcoachmd[.]com
domain.muppiestuff[.]com
domainfilsdomainc[.]study
doop.mavve[.]com
down.modernlily[.]codsa.50-poundboson[.]com
dsa.d24flashtime[.]in
dsa.dealsboy.co[.]uk
dsa.elizabethlocksmith[.]net
dsa.motherskithen[.]in
dsa.rikulaubike[.]com
dsa.yourdigitalplumber[.]net
dsd.muzicresource[.]com
dsf.ehash[.]com
dsf.kingdomwealthproject[.]com
dsf.projectdreamlifestyle[.]com
dsg.ehash[.]info
dump.wellnessleadermd[.]com
dvd.0xf6[.]com
dvd.cookingwithinnovators[.]com
edu.wccollege[.]ca
edu.westerncommunitycollege[.]biz
el.killingphysicians[.]com
electroshops[.]tk
end.askgrannystore[.]com
end.ballabongroup[.]com
end.chansamusic[.]com
end.dormansurfaceprotection[.]com
end.eraqua[.]com
end.furnituregardenteak[.]com
end.insurance-lives[.]com
end.judyryon[.]com
end.leerosenbloomplazawatch[.]com
end.myfuturestory[.]com
end.ondemanddeliveries[.]com
end.thebestofseattledirectory[.]com
end.theclientgettingengine[.]com
englishmaninnewyork[.]site
ert.glennmoorman[.]net
eve.neighbourhoodreunion[.]net
ex.andrewmelbourne[.]org
ex.chennai[.]info
ex.digitalindia[.]live
ex.fitzpatrickpremiumcedar[.]com
ex.ipagram[.]org
ex.jamesthorpebourbon[.]com
ex.localtechstops[.]org
ex.maclarenreplacementstrollerbugg
ypushchairpramhandlefoamgrips.co[.]uk
ex.southpadrebeachcam[.]com
ex.sovenir[.]net
ex.twittergrandma[.]com
far.askgrannydating[.]com
far.clickbankidol[.]com
far.dietingplan[.]org
far.dynamicwireframes[.]in

see.joeandrito[.]com
see.letsown[.]com
see.localtechstops[.]net
see.mesotheliomasymptons[.]com
see.michaelbreusphd[.]net
see.mindsandvines[.]com
see.mnitworkforce[.]org
see.mooresbroslocksmithbarrington[.]info
see.morereview[.]info
see.napasdg[.]com
see.phoenixsongmedia[.]com
see.pmcentroamerica[.]com
see.purseland[.]com
see.radfordchamber[.]net
see.rosaryvenice[.]com
see.southpadreactivities[.]com
see.sympaticare[.]org
see.thebestchicagorealtors[.]com
see.thebestdallaslawyers[.]com
see.thebestofwichitadirectory[.]com
see.themyscira[.]net
see.topsecuritylocksmithbolingbrook[.]info
see.underinsuredamerica[.]org
see.vrundavaninfra[.]com
see.wheatonlocksmithandgaragedoor[.]info
self.super8spi[.]com
sell.5001000[.]info
sell.cqflipbook[.]com
sell.dresdencowboy[.]com
sell.hostsb[.]com
sell.makeitmaxwells[.]com
sell.underinsuredinamerica[.]com
send.dormantpms[.]com
set.agendapitch[.]com
set.azmediumduty[.]com
set.designervintagejewelry[.]com
set.isleofwightdeals[.]com
set.kathrynjalimanart[.]com
set.locksmithstreamwoodil[.]com
set.oustormcrowd[.]com
set.penny-pincher-boutique[.]com
set.rawfoodartist[.]com
set.rolexnyc57[.]com
set.secretstosleepsuccess[.]rest
set.sympaticare[.]net
set.tokongetop[.]com
set.topfreeways[.]club
set.webtraffictraderadexchange[.]com
setup.objectsasart[.]com
sex.ftrgn[.]com
sex.irrationedcare[.]com
sexsiteadulpicsite[.]bid
sexsiteadulpicsite[.]datesexsiteadulpicsite[.]racing
shado.slimpilotmd[.]com
shiel.yoncalitatil[.]com
shit.efsani[.]com
shit.medlawtalk[.]tv
shopthetrack[.]tk
show.kodai[.]info

45

far.eshyl[.]com
far.illuminationsofsouthflorida[.]com
far.jsyyxh[.]com
far.nycfatfreeze[.]com
far.padrevacationrentals[.]com
far.payna[.]in
far.richardandrito[.]com
far.sandesh2soldiers[.]com
far.ssimonian[.]com
far.temperedgraces[.]com
far.theageingbusiness[.]com
far.thelookshow[.]com
far.webtraffictrader[.]com
far.werleddistributors[.]com
farm.formoutdoorliving[.]org
farm.the30minuteworkday[.]com
fast.azelectronicsguide[.]com
fast.dormansweepstakes[.]com
fast.eastcoastpallets[.]com
fast.howtocontrolyoursleep[.]com
fast.jimmylocksmithhanoverparkil[.]info
fast.magicmulchers[.]com
fast.mopski[.]com
fast.napadieselguide[.]com
fast.seoblastlinks[.]com
fast.thebestwichitadoctors[.]com
fast.utahlanddesign[.]info
fast.warondocs[.]com
fdd.docshomeremedy[.]us
fds.bdwtesting[.]net
fds.buzzwife[.]com
fds.entqo[.]com
fds.goldenlocksmithschillerpark[.]info
fds.heartbeats4u[.]com
fds.kidsthatgolf[.]com
fds.localtechstop[.]info
fds.myofficedeals[.]com
fds.ownitventures[.]net
fds.samefruits[.]com
fds.theprogressivegraduate[.]com
fds.topfreeways[.]info
fds.twitterlines[.]com
fds.ulohapp[.]com
feel.1on1intro[.]com
feel.directbookingsites[.]com
feel.izrada-prezentacija[.]info
feel.motherlodewebhosting[.]com
feel.thetruthaboutherpes[.]com
feel.uocodac[.]com
few.aaflipbook[.]com
few.advancetpms[.]com
few.etmarcafe[.]com
fff.myfatwatchersmd[.]com
fgd.medlawmedia[.]usfgh.askgranny[.]asia
fgh.davidawokoya[.]mefgh.grannyfind[.]com
file.doctorbreus[.]biz
fin.doctorbreus[.]net
find.admingifts[.]com

side.formgroup[.]construction
sit.weddingindustry[.]biz
size.accesscio[.]com
sleep.mindfullsleep[.]com
sloveflirtdomain[.]xyz
sort.padrelive[.]com
sort.plaza57[.]com
sort.warondocs[.]ussound.formpools[.]cosound.southpadreislandwedding[.]com
space.killinghealth[.]org
ssl.2043kutahya[.]info
ssl.corekotu[.]com
ssl.laviel[.]com
ssl.myhealthandwellnesswatchers[.]com
ssl.nasreddin[.]com
sss.freeand21[.]com
star.southpadrefishingguide[.]com
start.overnightsuccess[.]today
strong.formliving[.]design
sum.allaboutnapa[.]com
sun.askforacause[.]org
sun.thebestchicagocardealers[.]com
sup.glencoelocksmithil[.]com
sure.formindoors[.]org
svs.b-bug[.]org
svv.ahawaterlesswash[.]com
sweet.lilymodern[.]cotap.medlu[.]org
tea.thebestdallascardealers[.]com
temp.levvi[.]com
temp.peakfreeways[.]ustemp.southpadreconcierge[.]com
ten.acelocksmithnorthfield[.]info
ten.kaigroupllc[.]com
ten.lemontlocksmiths[.]com
ten.locksmithskokieil[.]net
ten.lowerwestsidelocksmithchicago[.]info
ten.thebestseattlecardealers[.]com
test.thegooddoctorbook[.]org
testdomayns[.]gq
testertester12[.]ml
thr.btctele[.]com
tik.uninsuredamerica[.]com
time.formoutdoorliving[.]info
top.1on1meeting[.]com
top.adtrafficmastersadexchange[.]com
top.boxsouvenir[.]com
top.burn[.]company
top.cantsleepscottsdaleaz[.]com
top.cityofsydney[.]live
top.classicoil[.]in
top.cpamarketingmedia[.]com
top.dealsz[.]com
top.emeishan[.]com
top.goldenlocksmithschillerpark[.]info
top.gotmctravel[.]com
top.greaterlocksmithsaintcharles[.]org
top.kexuecity[.]com
top.locksmithlincolnshireil[.]com

46

find.burnsmarketingandresearch[.]com
find.nappalatte[.]com
fine.allabouthappyhour[.]com
fine.sedatemychild[.]com
fine.topfreeways[.]xyz
five.natchat[.]net
flo.hospitalityhealth[.]us
flow.ninjaplumber[.]com
focus.formpools[.]com
fone.wjreunion[.]com
food.cafeilnido[.]net
for.utdgbs[.]org
form.rainbowpropmgt[.]info
form.southpadrephoto[.]com
forum.rbrfb[.]com
forum.rhrwh[.]com
forum.rkrbk[.]com
forumdba.2tca[.]xyz
forumdba.2tcb[.]xyz
forumdba.2tcc[.]xyz
free.allthingsbizdev[.]com
free.appraisecoinsnyc[.]com
free.atakando[.]com
free.bebeccino[.]uk
free.buzzdollars[.]com
free.cmlib[.]info
free.cubagoodies[.]com
free.dealsbooklet[.]com
free.dealsnshare[.]com
free.dealzsuperstore[.]com
free.dormangarageorganization[.]com
free.dormantv[.]com
free.eldoradovirtualtours[.]com
free.fabuloussatchi[.]com
free.familysurvivalgroup[.]com
free.food4women[.]com
free.formerlydealeronly[.]com
free.funycoloring[.]com
free.gohyperlink[.]com
free.hondaniagaredja[.]com
free.icantbelieve[.]org
free.iyiliketiyilikbul[.]org
free.jabulous[.]com
free.jimmagescontract[.]com
free.killingdoctors[.]net
free.larryslocksmithhighlandpark[.]info
free.learntoridemotorcycle[.]com
free.linkedinleverage[.]info
free.localtechstop[.]com
free.matulyasurgical[.]com
free.mesotheliomalawcompany[.]com
free.myratcity[.]com
free.napasolutionsemail[.]com
free.nutrangnu[.]com
free.opencomputinginstitute[.]com
free.philandtedshandlegripsreplacement[.]com
free.recruitersweb[.]com
free.ringreview[.]org
free.ronnieviau[.]com
free.streetervillelocksmithchicago[.]com

top.mobilbardak[.]com
top.palomasfurniture[.]com
top.plazawatchexchange[.]com
top.rainbowpropmgt[.]net
top.ryanebner[.]com
top.searadiance[.]detop.searadiance[.]in
top.southpadreislandweddings[.]com
top.sunriseholdingsllc[.]com
top.thebestdallasrealtors[.]com
top.thebestwichitarestaurants[.]com
top.upperclassdate[.]com
top.villabluesteps[.]com
toto.21eastgallery[.]com
tras.modernlily[.]org
tre.30minuteworkday[.]com
tre.timemerlin[.]com
tre.uncommonsentiment[.]com
tre.uwannadeal[.]com
tre.vfcarsblog[.]com
tree.cherrybeautysupply[.]com
tree.dealsexperts[.]com
tree.locksmithrogerspark[.]info
tree.rzuh[.]com
tree.sammilodge[.]com
tree.twoosocial.co[.]uk
trend.padrecam[.]com
true.chansamusic[.]com
true.plaza57rolex[.]com
try.1on1auctions[.]com
try.adtrafficbrokers[.]info
try.askgrandad.co[.]uk
try.bannerautoservice[.]com
try.chennaireporter[.]com
try.comdusa[.]com
try.dealsx[.]com
try.doomcougar[.]com
try.hrcorporate[.]in
try.letsown[.]net
try.medlawmedia[.]info
try.metrolocksmithhoffmanestates[.]info
try.michealbruce[.]com
try.mobilsise[.]com
try.moormanmedia[.]us
try.oustormcrowd[.]com
try.plazawatch57[.]com
try.searadiance[.]eu
try.searadiance[.]info
try.sjtri[.]com
try.southpadreislandcams[.]com
try.tammrat[.]com
try.thebestseattlehomeimprovementpros[.]com
try.thelocaltechstop[.]com
try.werrew[.]info
tt.drcoachmd[.]com
tt.inanmiyorum[.]org
tt.mobilgca[.]com
tt.uninsuredamerica[.]net
ttl.thebestseattlerealtors[.]com
ttt.kutahya2043[.]de47

free.sympaticare[.]com
free.tamaracafe[.]com
free.thebesthoustonrealtors[.]com
free.time2talk[.]info
free.ulohapp[.]info
free.uv-litho[.]com
free.venturesonwisdom[.]com
free.weareledlighting[.]com
free.yoursleepstory[.]com
friend.formoutdoors[.]net
friend.wellnesssupportmd[.]com
friendcupe[.]pw
front.jennaknight[.]net
fufu.efsani[.]com
fun.askformeeting[.]com
future.cqharmonicbalancers[.]com
gad.inanamiyorum[.]org
gap.nolowball[.]com
gear.rtbtrafficbrokers[.]com
gera.gokcebag[.]com
gfd.dailycashprogram[.]net
gfd.datingupperclass[.]com
gfd.dealsboy[.]in
gfd.dealsidea[.]com
gfd.josephandrito[.]com
gfd.lexomate[.]com
gfd.lifewhyspers[.]com
gfd.maachefs[.]com
gfd.machefs[.]in
gfd.mikeandrito[.]com
gfd.pinkearthstudio[.]com
gfd.rotornationals[.]com
gfd.surferdudegame[.]com
gfd.werled[.]lighting
gfd.yourareaevents[.]com
god.born4greatness[.]org
god.medlucent[.]com
god.mobilsabanci[.]com
gold.zhongzhou[.]com
gone.formoutdoors[.]cogone.sleepdentistryonline[.]com
good.killingphysicians[.]us
good.noorshippingusa[.]com
good.woodengardensheds[.]info
grd.d24flashtime[.]in
gree.sitetrafficbrokers[.]com
green.glenoaksdentalcare[.]com
grey.igniterreviews[.]info
guv.mobilevcilhayvan[.]com
hand.stayatsouthpadre[.]com
happy.mobilaile[.]com
head.sleep[.]doctor
help.deanjosephfineart[.]com
help.gurallarcini[.]com
help.mexicotrabajobs[.]com
help.mobillenme[.]com
help.mythbustermd[.]com
help.pennypincherboutique[.]com
help.sogansarimsak[.]com
help.whatizzzit[.]com

tube.formgroup[.]build
ty.dptsgroup[.]com
type.momatrans[.]com
type.woodworkingauctions[.]com
tyu.askgranny[.]com
tyu.benme[.]com
tyu.killingmedicine[.]us
ud.mobilparis[.]com
upd.15temmuzruhu[.]org
upd.appraiserolexnyc[.]com
upd.lostnfoundphotography[.]com
upd.nasrettinhocanintorunlariyiz[.]com
upg.mobilgurallar[.]com
use.thebestdenverrestaurants[.]com
vcx.ballabongroup[.]com
vcx.chatarazzi[.]com
vcx.localtechstop[.]org
vcx.silviaandrito[.]com
vcx.twitttwoo[.]com
vds.caboweddingsinparadise[.]com
vds.themouseconnectiontravel[.]com
vdv.mehcomputers[.]com
vdv.southpadremarketing[.]com
vera.anlamiyorum[.]org
video.myhealthandwellnesswatchersmd[.]com
vps.rkrbk[.]com
vs.convulsiveconcepts[.]com
vsa.ehash[.]cc
vsa.talesofachild[.]com
vsa.thebestchicagodoctors[.]com
vvb.iyiliketiyilikbul[.]com
vvb.whitecoatlies[.]us
vvv.cooksgroove[.]com
wait.50lbboson[.]com
wait.napasolutionsoffer[.]com
wait.thebestdenverflorists[.]com
want.dormanfuelyourjourney[.]com
want.yoursleepweed[.]com
war.glenvieweaglelocksmith[.]org
war.plaza57nyc[.]com
warm.ships[.]net
was.thebestseattlerestaurants[.]com
wave.formliving[.]construction
way.thebestdenverhomeimprovementpros[.]com
way.watchexchangenyc[.]com
ways.formoutdoorliving[.]com
we.levvi[.]com
we.mauryapigments[.]in
we.newjersey-locksmiths[.]com
we.realitygem[.]com
we.sons-it[.]com
we.thebestdenverdentists[.]com
we.vla-engineering[.]com
web.benyok[.]com
week.georgethorpewhiskey[.]com
wer.a1locksmithcarolstream[.]info
wer.acdh[.]org
wer.askexec[.]com
wer.datinguppercrust[.]com
wer.nikoladjakovic[.]com

48

help.yenikutahya[.]org
hgf.gillianmcknight[.]org
hgf.sharimakeshomehappen[.]com
hgf.twoosocial[.]com
hgf.webxtechs[.]com
hit.mobilchp[.]org
hjk.maachefs[.]in
hold.surfcamsouthpadre[.]com
hope.southpadreskycams[.]com
hope.venturesinwisdom[.]com
hosat.folkartbrut[.]com
host.balitrekkingactivity[.]com
host.conditionteachermd[.]com
host.dormanhardware[.]com
host.gayphotoz[.]com
host.killingdoctors[.]org
host.liveathomecare[.]com
host.medlawmedia[.]org
host.medparency[.]com
host.mobilchp[.]com
host.mobildus[.]com
host.mobiltesis[.]com
host.reductionadvisormd[.]com
host.wellness-secure[.]com
hot.reputationformula[.]com
how.michaelbrucephd[.]com
how.thebestwichitadentists[.]com
hugo.unlimited[.]careers
ice.searadiance[.]org
in.silverlocksmithbensenville[.]info
indianoshop[.]tk
indianshopcargo[.]tk
jabongcargo[.]tk
jhg.virtualpropmgr[.]com
kak.2043kutahya[.]org
keep.50citychallenge[.]com
keke.healthy-finds[.]net
key.benslocksmithaddison[.]info
key.neighborhoodreunions[.]com
key.sendmeadentist[.]com
key.thebestdallashomeimprovementpros[.]com
keys.spilive[.]com
kill.outsiderfolkartgalleries[.]com
ko.keyhi[.]com
kok.4freeappraisal[.]com
kok.dagmin[.]com
koko.anlayamiyorum[.]org
koko.francejobsemplois[.]com
koko.gurallarcini[.]info
koko.haree[.]com
koko.mobilgurok[.]com
koko.yoncaliaparts[.]com
koks.cookberry[.]com
koks.mobilmhp[.]com
koks.yenigelecek[.]org
koleno.mycholesterolwatchers[.]com
kolowrat[.]tk
kuku.defythenoise[.]com
kuku.fatguidemd[.]com
kuku.gurallarcini[.]net

wer.sotorealestateservices[.]com
wer.thebestthingsinliferfree[.]com
west.dormansaleslink[.]com
west.misanthology[.]com
west.mobildokuman[.]com
west.oakparklocksmiths[.]com
west.wccollege[.]net
whatsupbins[.]ga
whatsupbins[.]ml
whatsupbins[.]tk
woot.leerosenbloomcnbccoinexpert[.]com
work.cost57[.]com
work.southpadresurfcams[.]com
world.formgroup[.]construction
wow.theplayingbay[.]com
wow.wellnessmanagermd[.]com
www2.wdhyk[.]xyz
xcv.crazycoollashgal[.]com
xcv.davosky[.]com
xcv.ehash[.]org
xcv.ipmsouthnews[.]com
xcv.killinghealth[.]net
xcv.kingdomwealthproject[.]info
xcv.mehperformance[.]com
xcv.mytmctravel[.]com
xcv.projecttitannda[.]com
xcv.sxtechinc[.]com
xcv.urbanafricanfashion[.]com
xxx.fatreductiondmd[.]com
xxx.kutahya2043[.]com
xxx.mobilkirtasiye[.]com
xxx.nutritionadvisormd[.]com
xzcx.mobilkiremit[.]com
year.webtraffictraders[.]com
yes.iyiliketiyilikbul[.]org
yes.theforgottenartists[.]com
you.napasolutionspromo[.]com
you.southpadreareacams[.]com
you.swanarchive[.]ga
ytr.maacooks[.]com
ytr.maacooks[.]in
ytr.nickbramble[.]biz
ytr.tmctravel[.]net
ytr.ui-design[.]coytr.urbanafricanprint[.]com
ytr.winterbluemusic[.]com
yty.nasrettin[.]com
zag.2043kutahya[.]net
zap.hospitality-health[.]org
zap.mobilelav[.]com
zap.weightinstructormd[.]com
zlo.aizona[.]com
zlost.dietgeniusmd[.]com
zomfg.beymin[.]com
zone.deanjosephgallery[.]com
zone.klynnholding[.]com
zone.locksmithcarolstream[.]infozone.lostnfoundgallery[.]com
zone.mikebreus[.]com
zone.modernlily[.]net

49

kuku.medlawpress[.]net
kuku.timbatots.com[.]au
kvo.thermaqua[.]com
lal.iamthinking[.]net
lal.wellness-breakthrough[.]com
land.southpadreskycam[.]com
last.dormanhelps[.]com
last.ondemanddeliveries[.]ca
last.tammrahcafe[.]com
lex.modernlily[.]info
life.formoutdoors[.]org
life.rainbowpropmgt[.]com
life.realestatesouthpadre[.]com
zxc.briansbaseballcamp[.]com
light.tammaracafe[.]com
like.bountifulhealth[.]net
like.ringreview[.]org
like.searadiance[.]in

zone.newlenoxlocksmithil[.]com
zone.thebestdallasrestaurants[.]com
zone.unlockyourclock[.]com
zone.westerncommunitycollege[.]ca
zone.wiseplan[.]infozone.yenianadolu[.]org
zoo.gezeksepeti[.]com
zuzu.codes4women[.]com
zxc.agackoy[.]com
zxc.buzzitall[.]com
zxc.cvfeed[.]com
zxc.hrcorporate[.]in
zxc.maarz[.]com
zxc.medlawmedia[.]net
zxc.thebesthoustonlawyers[.]com
zxc.uroogle[.]com

50

IP アドレス104.41.57[.]15
109.234.36[.]209
109.234.36[.]238
109.234.37[.]212
109.234.37[.]39
109.234.39[.]17
109.234.39[.]20
139.162.209[.]91
158.69.133[.]198
185.158.153[.]111
185.158.153[.]132
185.158.153[.]174
185.158.153[.]246
185.158.153[.]29
185.158.153[.]42
185.158.153[.]72
185.159.128[.]135
185.159.128[.]157
185.159.128[.]165
185.159.128[.]195
185.159.130[.]122
185.159.130[.]145
185.159.130[.]159
185.159.130[.]53
185.159.131[.]204
185.159.131[.]205
185.162.10[.]107
185.75.47[.]105
188.225.32[.]10
188.225.32[.]184
188.225.32[.]62
188.225.32[.]89
188.225.34[.]172
188.225.34[.]216
188.225.35[.]246
188.225.35[.]252
188.225.35[.]76
188.225.35[.]79
188.225.35[.]86
188.225.36[.]231
188.225.36[.]251
188.225.36[.]83
188.225.37[.]141
188.225.37[.]18
188.225.38[.]131
188.225.38[.]164
188.225.38[.]186
188.225.38[.]209
188.225.38[.]97
188.225.39[.]223
188.225.39[.]68
188.227.16[.]201
188.227.16[.]53
188.227.74[.]182
188.227.75[.]187
188.227.75[.]37
194.87.144[.]170
194.87.145[.]225

195.133.48[.]236
195.133.49[.]200
195.161.114[.]173
195.161.114[.]179
195.161.114[.]207
195.54.162[.]243
206.127.2[.]80
217.107.219[.]231
217.107.219[.]37
217.107.219[.]99
217.107.34[.]154
217.107.34[.]172
217.107.34[.]175
217.107.34[.]241
217.107.34[.]242
217.107.34[.]243
217.107.34[.]244
217.107.34[.]86
23.227.178[.]110
46.173.214[.]185
46.173.214[.]192
46.173.214[.]194
46.173.219[.]129
46.173.219[.]164
46.173.219[.]44
46.173.219[.]89
5.101.77[.]3
5.101.77[.]59
5.200.35[.]140
5.200.52[.]238
5.200.52[.]240
5.200.52[.]37
5.200.52[.]45
5.200.53[.]124
5.200.53[.]22
5.200.53[.]221
5.200.53[.]44
5.200.55[.]152
5.34.180[.]181
5.63.154[.]81
51.140.30[.]218
51.140.38[.]242
74.220.199[.]6
81.177.135[.]4
81.177.139[.]114
81.177.139[.]215
81.177.140[.]149
81.177.140[.]157
81.177.140[.]74
81.177.140[.]75
81.177.6[.]153
89.223.29[.]219
89.223.29[.]252
89.223.29[.]254
89.248.170[.]224
92.53.104[.]176
92.53.104[.]78
92.53.105[.]10651

194.87.146[.]150
194.87.146[.]190
194.87.146[.]228
194.87.234[.]129
194.87.234[.]233
194.87.234[.]251
194.87.234[.]28
194.87.234[.]96
194.87.237[.]240
194.87.238[.]222
194.87.238[.]245
194.87.92[.]210
194.87.92[.]251
194.87.92[.]254
194.87.93[.]11
194.87.93[.]117
194.87.93[.]53
194.87.94[.]239
194.87.94[.]37
194.87.94[.]4
194.87.95[.]194
194.88.107[.]145
194.88.107[.]148
194.88.107[.]152
194.88.107[.]154
195.133.144[.]222
195.133.144[.]228
195.133.147[.]212
195.133.147[.]252

92.53.105[.]146
92.53.105[.]205
92.53.105[.]43
92.53.105[.]70
92.53.119[.]106
92.53.119[.]47
92.53.120[.]151
92.53.120[.]39
92.53.120[.]4
92.53.124[.]105
92.53.124[.]124
92.53.124[.]144
92.53.124[.]251
92.53.124[.]29
92.53.124[.]34
92.53.124[.]52
92.53.127[.]109
92.53.127[.]12
92.53.127[.]21
92.53.127[.]244
92.53.127[.]252
92.53.127[.]67
92.53.97[.]102
92.53.97[.]144
92.53.97[.]168
92.53.97[.]222
92.53.97[.]32
93.95.97[.]147

52