Convertytmp3.org 可疑网站 分析

所报告的确切主机就是根域名，因此确切主机与父域名的范围相同。www 主机跳转到根域名。根域名从一个所审查网络位置提供了活动的 YTMP3 转换器，但把另一个位置跳转到同站点的国家限制页面，证实其展示依赖地理位置。

• HTTP 状态 200
• 最终 URL https://convertytmp3.org/
• 最终 URL https://convertytmp3.org/restricted/
• 重定向目标 https://convertytmp3.org/
• 页面元素 活动页面标题：YTMP3：免费 YouTube 转 MP3 转换器
• 页面元素 受限页面消息：抱歉，本网站在您所在国家不可用。

当前转换器接受 YouTube URL，并由其第一方 JavaScript 在本地处理表单。提交有效视频标识符后，该脚本会附加来自 9hito.com 的第三方脚本。所获取的第三方 JavaScript 除跟踪逻辑外，还包含浏览器通知和 push 订阅组件。

• 公开证据 URL https://convertytmp3.org/js/1787818199/ytmp3.js
• 文件 SHA-256 a20bfb4b32b782e305b5c4d210e82cffab345c1edb870ea2cce8044f98b3ce40
• 公开证据 URL https://9hito.com/hid.js
• 分析师观察 仅当有效的 YouTube 视频标识符进入转换路径后，当前表单脚本才会添加 9hito.com 脚本。
• 分析师观察 所获取的第三方脚本包含 Notification、PushManager、浏览器 fingerprint、本地存储及跨标签页协调代码。

当前第一方下载处理程序会在第一次 Download 操作时打开独立的 epsiloncloud.org 页面，然后才让原标签页导航到所生成媒体的 URL。对该广告页面进行的独立实时导航经过了无关的广告和跟踪主机，包括 kocmg.com 和 trk.catrck.com。

• 重定向目标 https://epsiloncloud.org/new/
• 重定向目标 https://kocmg.com/4/10327643
• 重定向目标 https://trk.catrck.com/
• 分析师观察 额外导航与所请求的媒体文件无关，并携带广告和访客跟踪信息。

根域名解析到瑞典的一个 IPv4 地址，并提供当前有效的 Let's Encrypt 证书，覆盖根域名和通配符命名空间。这些事实证明可访问性和加密，但不能降低已观察到的站外广告流程风险。

• DNS 信息 convertytmp3.org A 88.80.22.66
• 证书信息 convertytmp3.org 和 *.convertytmp3.org 的 Let's Encrypt YE1 证书，有效期从 2026-08-26T22:49:48Z 至 2026-11-24T22:49:47Z

对确切主机的公开研究未识别出具体恶意软件样本或确切恶意 URL。URLScan 返回 16 条根域名记录，www 为零，其中包括从 ytmp3.ai 和 yt2mp3.gs 到达的扫描。OTX 显示零个 pulse、八条根域名 URL 观察和两条 www 观察，均无 Google Safe Browsing 匹配。Wayback 记录始于 2026-06-28，并包含转换器 JavaScript 的多个修订版本。这些域名层面结果没有决定结论。

• 公开证据 URL https://urlscan.io/domain/convertytmp3.org
• 公开证据 URL https://otx.alienvault.com/indicator/domain/convertytmp3.org
• 公开证据 URL https://web.archive.org/web/20260823185941id_/https://convertytmp3.org/
• 分析师观察 所审查的公开 sandbox、URL 扫描器、threat intelligence、OpenPhish 或归档记录均未提供 convertytmp3.org 上的具体恶意软件文件、payload、接收端、样本 hash 或确切有害 URL。

调查复现了不需要的站外广告和跟踪行为，但没有获取或识别具体恶意软件文件、exploit、凭据接收端、恶意 payload 或样本 hash。因此结论是可疑网站分类，而不是恶意软件样本结论。

• 分析师观察 在所审查范围内未识别出具体恶意软件对象。