PUA.JS.Revizer.AA

2020年10月9日

解析者: Paul Steven Nadera

更新者 : Mohammed Malubay

別名:

JS:Adware.Lnkr.A(BITDEFENDER);

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: 潜在的に迷惑なアプリケーション
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

感染経路他のマルウェアからの作成, インターネットからのダウンロード

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ワーム活動の機能を備えていません。

プログラムは、バックドア活動の機能を備えていません。

プログラムは、情報収集する機能を備えていません。

プログラムは、特定のWebサイトにアクセスし、情報を送受信します。

詳細

ファイルサイズ 35,986 bytes

タイプ JS

発見日 2020年9月28日

ペイロード URLまたはIPアドレスに接続

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

プログラムは、ワーム活動の機能を備えていません。

バックドア活動

プログラムは、バックドア活動の機能を備えていません。

ルートキット機能

プログラムは、ルートキット機能を備えていません。

情報漏えい

プログラムは、情報収集する機能を備えていません。

その他

プログラムは、以下のWebサイトにアクセスし、情報を送受信します。

During launch:
- (http or https)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1 or blank}&tid=7854&rid=LAUNCHED&t={time in milliseconds}
After the script is loaded:
- If a script element of the current URL contains "1eaefda9f709934a5d{any characters}.js" in its URL source path:
  - (http or https)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1 or blank}&tid=7854&rid=LOADED&custom1={current hostname}&custom2={first 50 characters of current URL's pathname}&custom3={domain name the script element}&t={time in milliseconds}
- Else:
  - (http or https)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1 or blank}&tid=7854&rid=LOADED&custom1={current hostname}&custom2={first 50 characters of current URL's pathname}&t={time in milliseconds}
If current URL's hostname equal to "{BLOCKED}ysambadresult.in":
- (http or https)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1 or blank}&tid=7854&rid=URL_BLACKLISTED&custom1={current hostname}&t={time in milliseconds}
If current URL ends with the following strings:
- jpg
- png
- jpeg
- gif
- bmp
- pdf
- xls
- js
- xml
- doc
- docs
- txt
- css
- It sends information to the following website(s):
  - (http or https)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1 or blank}&tid=7854&rid=URL_STATICFILE&t={time in milliseconds}
If current URL's hostname contains any of following strings:
- paypal.com
- secure.
- .gov
- doubleclick.net
- addthis.com
- twitter.com
- docs.google.com
- drive.google.com
- analytics.google.com
- notifications.google.com
- It avoids them and sends information to the following website(s):
  - (http or https)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1 or blank}&tid=7854&rid=URL_IGNOREDOMAIN&t={time in milliseconds}
If current URL's "link" element equal to "chrome-webstore-item":
- (http or https)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1 or blank}&tid=7854&rid=PROMO_ANLZ&custom1={current hostname}&custom2={current URL}&custom3={chrome-website-item link URL}&t={time in milliseconds}
If an error occured:
- (http or https)://{BLOCKED}ch.biz/log/?l=error&m={"undefined" or "!empty message!"}|{error message}&t={time in milliseconds}
If execution is completed without errors:
- (http or https)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1 or blank}&tid=7854&rid=FINISHED&custom1={current hostname}&t={time in milliseconds}

プログラムは、以下を実行します。

Avoids execution in the following domains that contains the following strings:
- dostup-{any combination of letters}.com
- freevideodownloader
- musvk
- {BLOCKED}ne.xyz
- {BLOCKED}ock.com
- {BLOCKED}amedia.tech

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>

プログラムは、以下のWebサイトにアクセスし、情報を送受信します。

起動中：
- (httpまたはhttps)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1または空白}&tid=7854&rid=LAUNCHED&t={ミリ秒単位の時間}
スクリプトの読み込み後：
- カレントURLのスクリプト要素のURLソースパス内に「1eaefda9f709934a5d{任意の文字}.js」が含まれている場合：
  - (httpまたはhttps)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1または空白}&tid=7854&rid=LOADED&custom1={カレントホストの名前}&custom2={カレントURLのパス名の最初の50文字}&custom3={ドメイン名のスクリプト要素}&t={ミリ秒単位の時間}
- 上記以外の場合：
  - (httpまたはhttps)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1または空白}&tid=7854&rid=LOADED&custom1={カレントホストの名前}&custom2={カレントURLのパス名の最初の50文字}&t={ミリ秒単位の時間}
カレントURLのホスト名が「{BLOCKED}ysambadresult.in」と同一である場合：
- (httpまたはhttps)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1または空白}&tid=7854&rid=URL_BLACKLISTED&custom1={カレントホストの名前}&t={ミリ秒単位の時間}
カレントURLが以下の文字列で終了している場合：
- jpg
- png
- jpeg
- gif
- bmp
- pdf
- xls
- js
- xml
- doc
- docs
- txt
- css
- プログラムは、以下のWebサイトに情報を送信します。
  - (httpまたはhttps)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1または空白}&tid=7854&rid=URL_STATICFILE&t={ミリ秒単位の時間}
カレントURLのホスト名が以下の文字列のいずれかを含む場合：
- paypal.com
- secure.
- .gov
- doubleclick.net
- addthis.com
- twitter.com
- docs.google.com
- drive.google.com
- analytics.google.com
- notifications.google.com
プログラムは、上述のURLを避けて、以下のWebサイトに情報を送信します。
- (httpまたはhttps)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1または空白}&tid=7854&rid=URL_IGNOREDOMAIN&t={ミリ秒単位の時間}

カレントURLのリンク要素が「chrome-webstore-item"」と同一である場合：

(httpまたはhttps)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1または空白}&tid=7854&rid=PROMO_ANLZ&custom1={カレントホストの名前}&custom2={カレントURL}&custom3={"chrome-webstore-item"のリンクURL }&t={ミリ秒単位の時間}

エラーが発生した場合：

(httpまたはhttps)://{BLOCKED}ch.biz/log/?l=error&m={"undefined"または"!empty message!"}|{エラーメッセージ}&t={ミリ秒単位の時間}

エラーなしで実行が完了した場合：

(httpまたはhttps)://{BLOCKED}ch.biz/metric/?mid=&wid=52096={1または空白}&tid=7854&rid=FINISHED&custom1={カレントホストの名前}&t={ミリ秒単位の時間}

プログラムは、以下を実行します。

以下の文字列を含むドメインでの実行を避けます。
- dostup-{任意の文字の組み合わせ}.com
- freevideodownloader
- musvk
- {BLOCKED}ne.xyz
- {BLOCKED}ock.com
- {BLOCKED}amedia.tech

対応方法

対応検索エンジン: 9.800

SSAPI パターンバージョン: 2.339.00

SSAPI パターンリリース日: 2020年10月1日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「PUA.JS.Revizer.AA」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください