Що Gridinsoft спостерігала на Convertytmp3.org
Аналітик загроз Gridinsoft безпосередньо перевірив сайт і задокументував докази, на яких ґрунтується це рішення.
GMA-20260828000003-25853f55
- Перевірено
- Gridinsoft, аналітик загроз
- Висновок аналітика
- Підозрілий вебсайт
- Доказова база
- Власний аналіз сайту Дані зовнішніх постачальників: Суперечливий контекст — не використано для цього рішення
Поточний процес конвертера створює два відтворювані ризики, не пов'язані із заявленою функцією завантаження медіа: після коректного введення завантажується сторонній скрипт сповіщень і відстеження, а перша дія Download відкриває окремий ланцюжок рекламних перенаправлень. Ці власні спостереження підтримують категорію Підозрілий вебсайт, хоча поточні публічні результати blacklist і багатьох рушіїв переважно чисті. Конкретного файла чи payload шкідливого ПЗ не виявлено, тому це не вердикт щодо зразка malware.
Висновки аналітика
Перевірка: задокументовано 6 спостережень Переглянути докази
Точним заявленим хостом є кореневий домен, тому обсяги точного хоста й батьківського домену збігаються. Хост www перенаправив на кореневий домен. З однієї перевіреної мережевої точки кореневий домен показав активний конвертер YTMP3, але іншу точку перенаправив на сторінку обмеження за країною на тому самому сайті, що підтверджує залежну від географії подачу.
-
Статус HTTP
200 -
Кінцева URL-адреса
https://convertytmp3.org/ -
Кінцева URL-адреса
https://convertytmp3.org/restricted/ -
Адреса перенаправлення
https://convertytmp3.org/ - Елемент сторінки Заголовок активної сторінки: YTMP3: безкоштовний конвертер YouTube у MP3
- Елемент сторінки Повідомлення сторінки з обмеженням: Вибачте, цей сайт недоступний у вашій країні.
Поточний конвертер приймає URL YouTube, а його власний JavaScript локально обробляє форму. Після надсилання коректного ідентифікатора відео цей скрипт додає сторонній скрипт із 9hito.com. Отриманий сторонній JavaScript містить компоненти сповіщень браузера й push-підписки разом із логікою відстеження.
- URL публічного артефакту https://convertytmp3.org/js/1787818199/ytmp3.js
- SHA-256 файлу a20bfb4b32b782e305b5c4d210e82cffab345c1edb870ea2cce8044f98b3ce40
- URL публічного артефакту https://9hito.com/hid.js
- Спостереження аналітика Поточний скрипт форми додає скрипт 9hito.com лише після того, як коректний ідентифікатор відео YouTube потрапляє до процесу конвертації.
- Спостереження аналітика Отриманий сторонній скрипт містив код Notification, PushManager, fingerprint браузера, локального сховища та координації між вкладками.
Поточний власний обробник завантаження відкриває окрему сторінку epsiloncloud.org під час першої дії Download, перш ніж спрямувати початкову вкладку до URL створеного медіафайла. Незалежний live-перехід до цієї рекламованої сторінки пройшов через сторонні рекламні й трекінгові хости, зокрема kocmg.com і trk.catrck.com.
-
Адреса перенаправлення
https://epsiloncloud.org/new/ -
Адреса перенаправлення
https://kocmg.com/4/10327643 -
Адреса перенаправлення
https://trk.catrck.com/ - Спостереження аналітика Додаткова навігація не була пов'язана із запитаним медіафайлом і містила рекламний контекст та відстеження відвідувача.
Кореневий домен розв'язувався в одну IPv4-адресу у Швеції та надавав чинний сертифікат Let's Encrypt для кореневого й wildcard-простору назв. Ці факти підтверджують доступність і шифрування, але не зменшують ризику спостереженого стороннього рекламного потоку.
- Дані DNS convertytmp3.org A 88.80.22.66
- Дані сертифіката Сертифікат Let's Encrypt YE1 для convertytmp3.org і *.convertytmp3.org, чинний від 2026-08-26T22:49:48Z до 2026-11-24T22:49:47Z
Публічне дослідження точного хоста не виявило конкретного зразка malware або точної шкідливої URL. URLScan повернув 16 записів кореневого домену й жодного для www, зокрема сканування, що надійшли з ytmp3.ai та yt2mp3.gs. OTX показав нуль pulses, вісім спостережень URL кореневого домену й два для www без збігів Google Safe Browsing. Записи Wayback починаються з 2026-06-28 і містять кілька версій JavaScript конвертера. Ці результати на рівні домену не визначали вердикт.
- URL публічного артефакту https://urlscan.io/domain/convertytmp3.org
- URL публічного артефакту https://otx.alienvault.com/indicator/domain/convertytmp3.org
- URL публічного артефакту https://web.archive.org/web/20260823185941id_/https://convertytmp3.org/
- Спостереження аналітика Жоден перевірений публічний запис sandbox, URL-сканера, threat intelligence, OpenPhish або архіву не надав конкретного файла malware, payload, одержувача, hash зразка чи точної шкідливої URL на convertytmp3.org.
Розслідування відтворило небажану сторонню рекламу й відстеження, але не отримало й не виявило конкретного файла malware, exploit, одержувача облікових даних, шкідливого payload або hash зразка. Отже, вердикт є класифікацією Підозрілий вебсайт, а не вердиктом щодо зразка malware.
- Спостереження аналітика У перевіреному обсязі не виявлено конкретного об'єкта malware.
Обсяг і обмеження
- Активний конвертер і сторінку обмеження за країною перевірено, оскільки сайт змінює подачу залежно від розташування відвідувача.
- Завершену конвертацію медіа й отриманий медіафайл не було одержано, тому щодо вмісту конкретного завантаженого файла MP3 або MP4 тверджень немає.
- Рекламні призначення динамічні й можуть відрізнятися залежно від розташування відвідувача, часу та кампанії; зафіксовані хости є призначеннями, спостереженими під час цієї перевірки.
- Публічні пошукові, sandbox-, URL-сканерні, threat-intelligence- та архівні індекси неповні. Відсутність точного шкідливого об'єкта в цих джерелах означає, що його не знайдено в перевірених джерелах, а не що кожна історична чи майбутня URL безпечна.
Допоможіть захистити інших, поділіться цією сторінкою у соціальних мережах! Чим більше людей дізнається про convertytmp3.org, тим менше шансів у них когось ошукати. Допоможіть іншим оцінити convertytmp3.org, поділившись цією сторінкою у соціальних мережах!