Adware.JS.Revizer.AK

2020年6月9日

解析者: Paul Steven Nadera

別名:

JS:Adware.Lnkr.A (Bitdefender); Adware:JS/InjectorAd.A (Microsoft); JS/Adware.Revizer.B application] (NOD32)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: アドウェア
破壊活動の有無: なし
暗号化: なし
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェアは、ユーザによる特定のWebサイト上での取引を監視します。

アドウェアは、特定のWebサイトにアクセスし、情報を送受信します。

詳細

ファイルサイズ 215,788 bytes

タイプ JS

メモリ常駐なし

発見日 2020年6月2日

ペイロード URLまたはIPアドレスに接続

侵入方法

アドウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

アドウェア活動

アドウェアは、以下のWebサイトにアクセスして感染コンピュータ上に広告を表示します。

https://{BLOCKED}rinamenya.ru/566bbee0f961ad71b54c3c2fd36db053

情報漏えい

アドウェアは、ユーザによる以下のWebサイト上での取引を監視します。

amazon.com
amazon.com.mx
amazon.cn
amazon.co.jp
youradexchange.com
websites containing boobking. , booing. , buking. , boocking. , boooking. , bookking. and booing.
bitconnect.co/register

その他

アドウェアは、以下のWebサイトにアクセスし、情報を送受信します。

During launch:
- if http:
- http://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid=&tid=5851&rid=LAUNCHED&t={time in milliseconds}
- if https:
- https://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid=&tid=5851&rid=LAUNCHED&t={time in milliseconds}
After the script is loaded:
- http://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=LOADED&custom1={current hostname}&t={time in milliseconds}
- https://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=LOADED&custom1={current hostname}&t={time in milliseconds}
Before sending request:
- http://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=BEFORE_OPTOUT_REQ&t={time in milliseconds}
- https://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=BEFORE_OPTOUT_REQ&t={time in milliseconds}
Request sending:
- http://{BLOCKED}tcs.space/optout/get?jsonp=__twb_cb_{random number from 0 to 1000000000}&key=16dbc8c14acdb8703b&t={time in milliseconds}
If response is fail:
- http://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=OPTOUT_RESPONSE_FAIL&t={time in milliseconds}
- https://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=OPTOUT_RESPONSE_FAIL&t={time in milliseconds}
If response is success:
- http://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=OPTOUT_RESPONSE_OK&t={time in milliseconds}
- https://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=OPTOUT_RESPONSE_OK&t={time in milliseconds}
After script execution:
- http://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=FINISHED&custom1={current hostname}&t={time in milliseconds}
- https://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=FINISHED&custom1={current hostname}&t={time in milliseconds}

アドウェアは、以下を実行します。

Avoids execution in the following domains that contains the following strings:
- musvk
- vkonline.xyz
- vkunblock.com
- dostup-{any combination of letters}.com
- freevideodownloader
- thisadsfor.us
- olam-hamedia.tech
- ok.ru
- google
- www.google
Avoids the following domains:
- paypal.com
- secure.
- doubleclick.net
- addthis.com
- twitter.com
- docs.google.com
- drive.google.com
and sends information to the following website(s):
- http://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=URL_IGNOREDOMAIN&t={time in milliseconds}
- https://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=URL_IGNOREDOMAIN&t={time in milliseconds}
Monitors the following elements of a website:
- If "link" is "chrome-webstore-item":
- Send information to
- http://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=PROMO_ANLZ&custom1={current hostname}&custom2={current URL}&custom3={chrome webstore item link URL}&t={time in milliseconds}
- https://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=PROMO_ANLZ&custom1={current hostname}&custom2={current URL}&custom3={chrome webstore item link URL}&t={time in milliseconds}
- If element "div.g" contains the following strings:
- chrome.google.com/webstore
- Speed Dial
- New tab
- start tab
- start page
- new page
- home page
- default page
- fast dial
- fast access
- quick access
- and if "a:not(.cws)" is found:
- send information to
- http://{BLOCKED}tcs.space/metric/?mid=1f608&wid=51824&sid={1 or blank}&tid=5851&rid=BANNER_LOAD&t={time in milliseconds}
- https://{BLOCKED}tcs.space/metric/?mid=1f608&wid=51824&sid={1 or blank}&tid=5851&rid=BANNER_LOAD&t={time in milliseconds}
- and Cookie "__mzglrl" is created
Checks if current hostname contains search engine strings:
- google.
- search.yahoo.
- bing.com
- ask.com
- shopping.yahoo
- search.aol.
- wow.com
- when.com
- search.mywebsearch.com
- search.myway.com
- duckduckgo.com
- mysearch.com
- teoma.com
- searchlock.com
- myprivatesearch.com
- searchprivacy.co
- thesmartsearch.net
- infospace
- safefinder.com
- mysearchguardian.com
Checks if current URL ends with the following strings:
- jpg
- png
- jpeg
- gif
- bmp
- doc
- pdf
- xls
- js
- xml
- doc
- docs
- txt
- css
then sends information to the following website(s):
- http://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=URL_STATICFILE&t={time in milliseconds}
- https://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=URL_STATICFILE&t={time in milliseconds}
If the amazon websites are accessed:
- if "/s/" and "/gp/search/" are found in the URL:
- get "data-asin" of items
- get search filters
- send information regarding the search query to:
- http://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=AMZN_SEARCH&custom1={current hostname}&custom2={search keywords}&custom3={data-asin of items}&custom4={result count}&custom5={dropdownbox text}&t={time in milliseconds}
- https://{BLOCKED}tcs.space/metric/?mid=&wid=51824&sid={1 or blank}&tid=5851&rid=AMZN_SEARCH&custom1={current hostname}&custom2={search keywords}&custom3={data-asin of items}&custom4={result count}&custom5={dropdownbox text}&t={time in milliseconds}
If youradexchange.com is accessed and if "a/display." string is found in the URL:
- Redirects to http://www.{BLOCKED}exchange.com/a/display.php?r=391769&sub1=pr{parameters}
If websites with strings "boobking. , booing. , buking. , boocking. , boooking. , bookking. or booing." are accessed:
- Redirects to http://{BLOCKED}s.me/get?key=6ae9f4bd1dc812dc713d61cba871d8e8&out=http%3A%2F%2Fbooking.com&ref=http%3A%2F%2Fgo.com&format=go&uid=rdr51824
If bitconnect.co/register is accessed:
- Sends information to the following website(s):
- http://{BLOCKED}tcs.space/metric/?mid=62001&wid=51824&sid={1 or blank}&tid=5851&rid=BANNER_LOAD&custom1={sponsor from site}&custom2={random number from 100000 to 9999999}&t={time in milliseconds}
- https://{BLOCKED}tcs.space/metric/?mid=62001&wid=51824&sid={1 or blank}&tid=5851&rid=BANNER_LOAD&custom1={sponsor from site}&custom2={random number from 100000 to 9999999}&t={time in milliseconds}
If youradexchange.com is accessed and if "a/display." string is found in the URL:
- Redirects to http://www.{BLOCKED}exchange.com/a/display.php?r=391769&sub1=pr{parameters}

対応方法

対応検索エンジン: 9.850

SSAPI パターンバージョン: 2.298.00

SSAPI パターンリリース日: 2020年6月4日

手順 1

Windows XP、Windows Vista 、Windows 7、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Adware.JS.Revizer.AK」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください