解析者: Patrick Noel Collado   
 更新者 : Bren Matthew Ebriega
 別名:

JS:Adware.Lnkr.A (BITDEFENDER)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    アドウェア

  • 破壊活動の有無:
    なし

  • 暗号化:
    なし

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、ユーザによる特定のWebサイト上での取引を監視します。

アドウェアは、特定のWebサイトにアクセスし、情報を送受信します。

  詳細

ファイルサイズ 111,610 bytes
タイプ JS
メモリ常駐 なし
発見日 2020年9月4日
ペイロード URLまたはIPアドレスに接続, その他, 情報収集

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェア活動

アドウェアは、以下のWebサイトにアクセスして感染コンピュータ上に広告を表示します。

  • https://{BLOCKED}rinamenya.ru/566bbee0f961ad71b54c3c2fd36db053

情報漏えい

アドウェアは、ユーザによる以下のWebサイト上での取引を監視します。

  • amazon.com
  • amazon.com.mx
  • amazon.cn
  • amazon.co.jp
  • youradexchange.com
  • websites containing boobking. , booing. , buking. , boocking. , boooking. , bookking. and booing.

その他

アドウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • During launch:
    • if http:
      • http://{BLOCKED}src.net/metric/?mid=&wid=51807&sid=&tid=8803&rid=LAUNCHED&t={time in milliseconds}
    • if https:
      • https://{BLOCKED}src.net/metric/?mid=&wid=51807&sid=&tid=8803&rid=LAUNCHED&t={time in milliseconds}
  • After the script is loaded:
    • http://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=LOADED&custom1={current hostname}&t={time in milliseconds}
    • https://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=LOADED&custom1={current hostname}&t={time in milliseconds}
  • Before sending request:
    • http://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=LOADED&custom1={current hostname}&t={time in milliseconds}
    • https://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=LOADED&custom1={current hostname}&t={time in milliseconds}
  • Request sending:
    • http://{BLOCKED}src.net/optout/get?jsonp=__mtz_cb_{random number from 0 to 1000000000}&key=2263eddcb82daefb7&t={time in milliseconds}
  • If response is fail:
    • http://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=OPTOUT_RESPONSE_FAIL&t={time in milliseconds}
    • https://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=OPTOUT_RESPONSE_FAIL&t={time in milliseconds}
  • If response is success:
    • http://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=OPTOUT_RESPONSE_OK&t={time in milliseconds}
    • https://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=OPTOUT_RESPONSE_OK&t={time in milliseconds}
  • After script execution:
    • http://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=FINISHED&custom1={current hostname}&t={time in milliseconds}
    • https://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=FINISHED&custom1={current hostname}&t={time in milliseconds}
  • If response is fail:
    • http://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=OPTOUT_RESPONSE_FAIL&t={time in milliseconds}
    • https://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=OPTOUT_RESPONSE_FAIL&t={time in milliseconds}
  • Request sending:
    • http://{BLOCKED}src.net/optout/get?jsonp=__mtz_cb_{random number from 0 to 1000000000}&key=2263eddcb82daefb7&t={time in milliseconds}

アドウェアは、以下を実行します。

  • Avoids execution in the following domains that contains the following strings:
    • musvk
    • vkonline.xyz
    • vkunblock.com
    • dostup-{any combination of letters}.com
    • freevideodownloader
    • thisadsfor.us
    • olam-hamedia.tech
    • ok.ru
    • google
    • www.google
  • Avoids the following domains:
    • paypal.com
    • secure.
    • .gov
    • doubleclick.net
    • addthis.com
    • twitter.com
    • docs.google.com
    • drive.google.com
    • analytics.google.com
    • notifications.google.com
  • and sends information to the following website(s):
    • http://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=URL_IGNOREDOMAIN&t={time in milliseconds}
    • https://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=URL_IGNOREDOMAIN&t={time in milliseconds}
  • Monitors the following elements of a website:
    • If "link" is "chrome-webstore-item":
      • Send information to:
        • http://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1orblank}&tid=8803&rid=PROMO_ANLZ&custom1={currenthostname}&custom2={currentURL}&custom3={chrome webstore item link URL}&t={time inmilliseconds}
        • https://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1orblank}&tid=8803&rid=PROMO_ANLZ&custom1={currenthostname}&custom2={currentURL}&custom3={chrome webstore item link URL}&t={time inmilliseconds}
    • If element "div.g" contains the following strings:
      • chrome.google.com/webstore
      • Speed Dial
      • New tab
      • start tab
      • start page
      • new page
      • home page
      • default page
      • fast dial
      • fast access
      • quick access
    • and if "a:not(.cws)" is found:
      • http://{BLOCKED}src.net/metric/?mid=1f608&wid=51807&sid={1orblank}&tid=8803&rid=BANNER_LOAD&t={time in milliseconds}
      • https://{BLOCKED}src.net/metric/?mid=1f608&wid=51807&sid={1orblank}&tid=8803&rid=BANNER_LOAD&t={time in milliseconds}
    • and Cookie "__mzglrl" is created
  • If url contains lotterysambadresult.in, it sends information to the following website:
    • http://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=URL_BLACKLISTED&custom1={current hostname}&t={time in milliseconds}
    • https://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=URL_BLACKLISTED&custom1={current hostname}&t={time in milliseconds}
  • Checks if current URL ends with the following strings:
    • jpg
    • png
    • jpeg
    • gif
    • bmp
    • doc
    • pdf
    • xls
    • js
    • xml
    • doc
    • docs
    • txt
    • css
  • then sends information to the following website(s):
    • http://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=URL_STATICFILE&t={time in milliseconds}
    • https://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=URL_STATICFILE&t={time in milliseconds}
  • If the amazon websites are accessed:
    • if "/s/" and "/gp/search/" are found in the URL:
    • get "data-asin" of items
    • get search filters
    • send information regarding the search query to:
      • http://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=AMZN_SEARCH&custom1={current hostname}&custom2={search keywords}&custom3={data-asin of items}&custom4={result count}&custom5={dropdownbox text}&t={time in milliseconds}
      • https://{BLOCKED}src.net/metric/?mid=&wid=51807&sid={1 or blank}&tid=8803&rid=AMZN_SEARCH&custom1={current hostname}&custom2={search keywords}&custom3={data-asin of items}&custom4={result count}&custom5={dropdownbox text}&t={time in milliseconds}
  • If youradexchange.com is accessed and if "a/display." string is found in the URL:
    • Redirects to http://www.{BLOCKED}exchange.com/a/display.php?r=391769&sub1=pr{parameters}
  • If websites with strings "boobking. , booing. , buking. , boocking. , boooking. , bookking. or booing." are accessed:
    • Redirects to http://{BLOCKED}s.me/get?key=6ae9f4bd1dc812dc713d61cba871d8e8&out=http%3A%2F%2Fbooking.com&ref=http%3A%2F%2Fgo.com&format=go&uid=rdr51807
  • Checks if current hostname contains search engine strings:
    • google.
    • search.yahoo.
    • bing.com
    • ask.com
    • shopping.yahoo
    • search.aol.
    • wow.com
    • when.com
    • search.mywebsearch.com
    • search.myway.com
    • duckduckgo.com
    • mysearch.com
    • teoma.com
    • searchlock.com
    • myprivatesearch.com
    • searchprivacy.co
    • thesmartsearch.net
    • infospace
    • safefinder.com
    • mysearchguardian.com

  対応方法

対応検索エンジン: 9.850
SSAPI パターンバージョン: 2.332.28
SSAPI パターンリリース日: 2020年9月10日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

     
    • Downloader.JS.TRX.XXJSE9EFF015

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Adware.JS.REVIZER.AM」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください