Lo que Gridinsoft observó en baikuder.com
Un analista de amenazas de Gridinsoft revisó directamente el sitio y documentó las pruebas que sustentan esta decisión.
GMA-20260903173912-fa772fd5
- Revisado
- por Gridinsoft, Analista de amenazas
- Hallazgo del analista
- Seguro
- Base probatoria
- Análisis propio del sitio Inteligencia de proveedores externos: Contexto contradictorio; no se usó para esta decisión
La revisión independiente actual respalda Seguro para el despliegue público observado de baikuder.com. Las 51 páginas y publicaciones públicas actuales sirvieron el mismo sitio de suministros de oficina, sin formulario de phishing, redirección ajena, entrega de ejecutable o archivo, payload de malware ni acción dañina. La evidencia pública de urlscan confirma que /sima/index2.php fue una solicitud de contraseña concreta con marca Microsoft en octubre de 2022 y que /sima.zip fue registrado como archivo etiquetado phishkit. Esas rutas exactas ahora devuelven HTTP 404 y no figuran en el inventario actual. Los indicadores restantes de SOCRadar y OTX son contexto actual de blacklist de dominio o feed masivo sin objeto exacto activo. Contradicen el resultado propio actual, pero no justifican mantener una advertencia amplia de Gridinsoft para el despliegue revisado ahora. El endurecimiento y monitoreo continuos de WordPress siguen siendo apropiados porque el incidente histórico fue concreto.
Hallazgos del analista
Revisión con 8 observaciones documentadas Ver pruebas
La raíz HTTPS sirvió el sitio de suministros de oficina Baikuder, y la raíz HTTP junto con las variantes www convergieron en el mismo apex HTTPS. La API pública de WordPress enumeró 12 páginas y 39 publicaciones de productos o noticias. Las 51 URLs públicas actuales únicas devolvieron HTTP 200 en baikuder.com sin host final ajeno.
-
Estado HTTP
200 -
URL final
https://baikuder.com/ - Elemento de página El inventario público actual contenía 51 páginas y publicaciones únicas del mismo host; las 51 devolvieron HTTP 200.
- Elemento de página El catálogo revisado presentó organizadores de escritorio, productos de archivo y almacenamiento, suministros empresariales, artículos de escritura y páginas individuales de productos CLS.
Las páginas About, Contact, políticas, catálogo y productos identificaron de forma coherente a Baikuder como la marca de suministros de oficina de CLS Industry Inc. Los datos de contacto coincidieron con el sitio corporativo separado de CLS. El único formulario del inventario público actual fue un formulario de contacto de mismo origen que pedía campos ordinarios de nombre, email, asunto y mensaje; no había contraseña, código de un solo uso, tarjeta de pago ni inicio de sesión de marca ajena. El formulario no se envió.
- Elemento de página Las páginas About y Contact identifican CLS Industry Inc., su dirección de Taiwan, [email protected] y +886-4-22352206.
- URL del artefacto público https://www.cls.com.tw/CLS_Story.php
- Elemento de página La acción del formulario de contacto era /contact/ en baikuder.com.
- Observación del analista Ningún formulario público actual solicitaba contraseña, código de un solo uso, número de tarjeta de pago, secreto de wallet o credencial de una cuenta ajena.
El apex y www resolvieron mediante Cloudflare y sirvieron el mismo sitio. El certificado actual cubría baikuder.com y *.baikuder.com desde 2026-07-10 hasta 2026-10-08. DNS también publicaba mail.cls.com.tw como intercambiador de correo y un registro de verificación de sitio de Google. El direccionamiento compartido de Cloudflare es contexto de infraestructura y por sí solo no estableció comportamiento dañino ni seguro.
- Dato DNS baikuder.com y www.baikuder.com resolvieron a direcciones anycast de Cloudflare durante la revisión.
- Dato DNS El destino MX era mail.cls.com.tw y el apex publicaba un registro TXT de verificación de sitio de Google.
- Dato del certificado Certificado Let's Encrypt YE1 válido desde 2026-07-10 hasta 2026-10-08 para baikuder.com y *.baikuder.com.
- Observación del analista La ubicación en la red compartida de Cloudflare se trató solo como contexto de infraestructura, no como hallazgo de amenaza ni garantía de sitio limpio.
El inventario público actual completo de 51 URLs y su contenido renderizado por WordPress no contenían enlaces a ejecutables, instaladores, paquetes móviles, paquetes de scripts o archivos. La navegación revisada no inició descarga automática ni redirección ajena, y no se identificó archivo de malware actual, URL de payload, hash de payload, receptor de credenciales, exploit o acción dañina concretos.
- Observación del analista No había enlaces .exe, .msi, .apk, .dmg, .zip, .rar o .7z en el contenido público actual de páginas y publicaciones.
- Observación del analista No se reprodujo descarga automática, host final ajeno, formulario de phishing actual, payload de malware ni ejecución dañina.
Los registros públicos de urlscan establecen un incidente histórico concreto, no solo una etiqueta de dominio. El 2022-10-11, un análisis de /sima/index2.php procedente de OpenPhish devolvió HTTP 200 con el título 'Sign in to your account'; la captura preservada mostró una solicitud de contraseña con marca Microsoft en el host no Microsoft baikuder.com. Otro análisis registró /sima.zip como application/zip con etiquetas miteru y phishkit. Los bytes del ZIP y un hash de archivo no estaban disponibles en el registro público recuperado, por lo que no se afirma familia de malware ni ejecución para ese archivo.
- URL del artefacto público https://urlscan.io/result/00cc286b-e90d-4d7a-b357-cc493892c708/
- URL del artefacto público https://urlscan.io/result/d98a3d83-428e-437e-b928-bd7fa9ae467b/
-
Estado HTTP
200 - Tipo MIME application/zip
- Observación del analista La página histórica pedía visiblemente una contraseña bajo marca Microsoft en baikuder.com; la evidencia recuperada no probaba adónde se enviaban los datos introducidos.
- Observación del analista El ZIP histórico fue registrado y etiquetado como phishkit, pero sus bytes, hash y traza de ejecución sandbox no estaban disponibles para esta revisión.
Las rutas históricas /sima, /sima/, /sima/index2.php, /sima/index2.php/ y /sima.zip devolvieron cada una la página HTTP 404 actual de Baikuder como text/html. Ninguna aparecía en el inventario actual de páginas o publicaciones públicas. Observaciones posteriores de urlscan entre 2022 y 2026 muestran que la ruta de credenciales pasó por respuestas 403 o 500 hasta páginas 404 ordinarias.
-
Estado HTTP
404 - Tipo MIME text/html; charset=UTF-8
- Observación del analista Las cinco variantes /sima probadas devolvieron HTTP 404 y ninguna estaba enlazada desde el inventario público actual de 51 URLs.
- URL del artefacto público https://urlscan.io/domain/baikuder.com
El host apelado exacto también es el dominio padre registrable, por lo que las búsquedas de host exacto y dominio padre se refieren al mismo apex; www se revisó por separado. urlscan devolvió 25 registros públicos, incluida la URL de phishing concreta y el ZIP de 2022, seguidos por páginas raíz y respuestas 404 posteriores. OTX devolvió pulsos de phishing repetidos de feeds masivos de 2026 con baikuder.com como indicador de dominio y siete observaciones URL; su observación raíz más reciente mostraba HTTP 200 sin coincidencia de Google Safe Browsing. El feed actual de OpenPhish y búsquedas públicas exactas en Hybrid Analysis, Triage, ANY.RUN, URLhaus y de las URLs históricas exactas no devolvieron coincidencia actual a nivel de muestra. Las APIs solo autenticadas o no disponibles no se trataron como evidencia limpia.
- URL del artefacto público https://urlscan.io/domain/baikuder.com
- URL del artefacto público https://otx.alienvault.com/indicator/domain/baikuder.com
- Observación del analista Una página de phishing histórica precisa se distinguió de forma independiente de los indicadores actuales de blacklist de dominio y feed masivo.
- Observación del analista No se encontró muestra de malware actual, hash de payload ni URL exacta dañina activa en los índices públicos revisados de escáneres, sandbox, inteligencia de amenazas o feeds.
El servicio de disponibilidad de Internet Archive informó capturas apex exitosas de 2018-08-06 y 2019-08-15. No informó captura almacenada para /sima/index2.php ni /sima.zip. La reproducción directa y el listado CDX no estuvieron disponibles durante la revisión, por lo que el contenido apex archivado no se usó para afirmar qué mostraban esas páginas. El sitio actual y los datos públicos de registro muestran por separado continuidad prolongada del dominio y del negocio.
- URL del artefacto público https://web.archive.org/web/20180806074937/http://baikuder.com/
- URL del artefacto público https://web.archive.org/web/20190815203022/http://baikuder.com/
- Observación del analista La disponibilidad del archivo identificó dos capturas apex exitosas, pero ninguna de los objetos históricos exactos bajo /sima en ambos casos.
- Observación del analista La reproducción de archivo no disponible se registró como limitación y no se interpretó como contenido limpio.
Alcance y limitaciones
- El host exacto apelado también es el dominio padre registrable, por lo que el OSINT de host exacto y dominio padre se refiere al apex baikuder.com. La variante www se revisó por separado.
- La revisión cubrió el informe actual de Gridinsoft, redirecciones HTTP y www, las 51 páginas y publicaciones públicas actuales de WordPress, navegación, formularios, descargas enlazadas, las rutas históricas exactas /sima, DNS, TLS, escáneres URL públicos, índices de inteligencia de amenazas, búsquedas en índices sandbox, un feed de phishing actual y metadatos de archivo disponibles.
- No se envió formulario, no se creó cuenta, no se introdujo credencial ni información personal y no se ejecutó ejecutable ni archivo.
- La revisión no inspeccionó archivos privados del servidor, logs, cuentas de administrador, mailboxes, endpoints no publicados, administración de WordPress ni la causa interna de la publicación de phishing de 2022.
- El registro histórico de /sima.zip exponía su URL, tipo MIME y etiqueta phishkit, pero no bytes recuperables, hash de archivo ni traza de ejecución sandbox. No se atribuye familia de malware ni comportamiento de payload específico a ese archivo.
- La reproducción y el listado CDX de Internet Archive no estuvieron disponibles, mientras su API de disponibilidad informó capturas apex pero ninguna de los objetos exactos bajo /sima en el alcance revisado. Las fuentes no disponibles o solo autenticadas se registraron como no verificadas, no como limpias.
- Los índices públicos de búsqueda, escáneres URL, inteligencia de amenazas, sandbox, feeds y archivos son incompletos; la ausencia en un índice no demuestra que un evento no indexado nunca ocurriera.
- Seguro describe el despliegue público y las rutas exactas observadas en el momento registrado. No garantiza contenido futuro, estado privado del servidor, seguridad de plugins WordPress, seguridad de cuentas ni que un compromiso remediado no pueda repetirse.
¡Ayuda a proteger a los demás compartiendo esta página en las redes sociales! Cuanta más gente sepa de baikuder.com, menos oportunidades tendrán de engañar a alguien. ¡Ayuda a otros a evaluar baikuder.com compartiendo esta página en las redes sociales!