Lo que Gridinsoft observó en Chosei-kai.com
Un analista de amenazas de Gridinsoft revisó directamente el sitio y documentó las pruebas que sustentan esta decisión.
GMA-20260903174836-87eabac2
- Revisado
- por Gridinsoft, Analista de amenazas
- Hallazgo del analista
- Seguro
- Base probatoria
- Análisis propio del sitio Inteligencia de proveedores externos: Contexto contradictorio; no se usó para esta decisión
La revisión independiente actual confirmó que chosei-kai.com alojó una página real de phishing que imitaba a Shaw en dos rutas ocultas exactas a comienzos de mayo de 2026. Esas rutas fueron bloqueadas pocos días después y ahora devuelven HTTP 404 con varios perfiles de solicitud. El apex, el alias www, la muestra de 79 páginas públicas, los formularios de consulta del mismo origen, las redirecciones, DNS y TLS fueron coherentes con la organización médica japonesa declarada. No se reprodujo una página phishing actual, un receptor externo de credenciales, una descarga dañina, un payload malware ni un exploit. Las advertencias externas actuales son por tanto contexto de reputación amplio y contradictorio, no fundamento para conservar una clasificación Phishing vigente para todo el dominio.
Hallazgos del analista
Revisión con 9 observaciones documentadas Ver pruebas
HTTP en el dominio padre registrable redirigió una vez al apex HTTPS, y HTTPS www redirigió una vez al mismo apex. La página final devolvió HTTP 200 como sitio de la organización médica japonesa Chosei-kai. Los perfiles desktop, móvil, Googlebot, Gridinsoft y con referente Google produjeron contenido visible normalizado idéntico; la raíz revisada no inició redirección ajena ni descarga automática.
-
Estado HTTP
200 -
URL final
https://chosei-kai.com/ -
Destino de redirección
https://chosei-kai.com/ - Tipo MIME text/html; charset=UTF-8
- SHA-256 del archivo 151897c29aed79b96bef5b9a0a4e9e1541433b1135635dabe6410f6ba2852140
- Elemento de página The page title was 長生会 and the visible content described the Chosei-kai medical corporation and its hospitals.
- Observación del analista All five profiles had normalized visible-text SHA-256 51064254d30bcd24c10a1e96cbde25b29d3adc92e13c6e958a2f754129998c57.
Una revisión acotada de dos niveles solicitó 79 páginas del mismo sitio descubiertas desde la navegación activa. 78 devolvieron HTTP 200 y una ruta antigua de imagen devolvió HTTP 404. Ninguna página terminó en un host ajeno, enlazó una descarga ejecutable o de archivo, incrustó un formulario externo de credenciales ni expuso carga de archivos. La navegación externa se limitó a hosts de Google y Google Maps.
- Observación del analista 79 same-site pages were requested: 78 returned HTTP 200 and one obsolete GIF path returned HTTP 404.
- Observación del analista No executable, installer, script payload, or archive download link was identified in the reviewed navigation.
- Observación del analista The only external hosts found in page navigation or resources were google.com, google.co.jp, maps.google.co.jp, and goo.gl.
Los dos formularios públicos eran formularios Contact Form 7 del mismo origen para consultas y contratación. Solicitaban campos normales de contacto, dirección, contratación y mensaje y enviaban a sus rutas respectivas de chosei-kai.com. No pedían contraseña, tarjeta de pago, código de un solo uso ni secreto de cartera. No se envió ningún formulario.
- URL del artefacto público https://chosei-kai.com/inquiry
- URL del artefacto público https://chosei-kai.com/inquiry_recruit
- Elemento de página The general enquiry form requests name, phonetic name, telephone, address, email confirmation, and a message.
- Elemento de página The recruitment form adds recruitment categories and otherwise uses ordinary contact and message fields.
- Observación del analista Both form actions remained on chosei-kai.com; no password or external credential receiver was present.
Registros públicos de urlscan del 6 al 8 de mayo de 2026 preservan un incidente real a nivel de objeto en dos rutas exactas. Las páginas devolvían HTTP 200 con el título Sign in - Shaw y mostraban una interfaz Shaw Webmail que solicitaba correo Shaw y contraseña bajo un mensaje de autenticación de dos factores. El análisis guardado marcó phishing contra Shaw. El registro demuestra una página histórica de phishing, no solo una categoría de blacklist del dominio; no se introdujeron credenciales ni se registró archivo malware o payload ejecutable.
-
Estado HTTP
200 - Elemento de página Shaw Webmail branding, Confirm your 2 Factor Authentication, Shaw email, Password, and Sign in.
- SHA-256 del archivo a8759ded511e4bf2b202f0727c798a4bac14268ab3fea0d1d21f88cb2ac7aee1
- SHA-256 de la captura fff6111d8d372917d079d7ac0449abbf398370e6921607b1fac7ae56ce4f48f0
- URL del artefacto público https://urlscan.io/result/019e0538-c6dd-7368-906b-b43a62bf2b18/
- URL del artefacto público https://urlscan.io/result/019dfd5a-d461-771d-adf4-9b2acc34446e/
- Observación del analista The urlscan page identified the saved response as phishing against Shaw and recorded response SHA-256 a8759ded511e4bf2b202f0727c798a4bac14268ab3fea0d1d21f88cb2ac7aee1.
Las dos rutas exactas de Shaw ahora devolvieron la página HTTP 404 normal del sitio para perfiles desktop, Googlebot y Gridinsoft. Los directorios posteriores /00d1/ y /0000/ también devolvieron HTTP 404, mientras que el listado directo de /wp-content/uploads/ devolvió HTTP 403. No se reprodujo el contenido phishing histórico ni una interfaz de credenciales en ninguna de esas rutas.
-
Estado HTTP
404 -
URL final
https://chosei-kai.com/Arress/shaw/index.html -
URL final
https://chosei-kai.com/Arres/shaw/index.html -
URL final
https://chosei-kai.com/00d1/ -
URL final
https://chosei-kai.com/0000/ - Observación del analista Each historical or later reported path returned the same unavailable result for desktop, crawler, and Gridinsoft request profiles.
- Observación del analista The upload-directory root returned HTTP 403 rather than exposing a browsable file index.
El apex y www resolvieron a 183.90.240.43 en infraestructura Xserver. El certificado actual cubría ambos nombres y era válido del 22 de agosto al 20 de noviembre de 2026. RDAP de Verisign registró el dominio como activo y registrado desde el 24 de diciembre de 2012, con los mismos cinco servidores de nombres Xserver observados en DNS.
- Dato DNS chosei-kai.com and www.chosei-kai.com resolved to 183.90.240.43; authoritative nameservers were ns1.xserver.jp through ns5.xserver.jp.
- Dato del certificado The current TLS certificate covered chosei-kai.com and www.chosei-kai.com and was valid from 2026-08-22 through 2026-11-20.
- URL del artefacto público https://rdap.verisign.com/com/v1/domain/chosei-kai.com
- Observación del analista The exact host and registrable parent are the same apex; www was reviewed as a separate alias.
urlscan devolvió 25 registros: las páginas Shaw exactas estuvieron activas a comienzos de mayo, bloqueadas del 8 al 11 de mayo y devolvieron páginas 404 normales en junio y julio; análisis posteriores de /00d1/ y /0000/ estaban bloqueados o no disponibles. OTX contenía un pulse masivo de lista phishing del 9 de mayo con un indicador solo de dominio y 68 observaciones de URL, incluida la ruta Shaw ya eliminada el 13 de mayo. Wayback indexó contenido exitoso de la raíz y del sitio médico de 2013 a 2026, pero no estuvo disponible la recuperación archivada de las rutas exactas durante esta revisión.
- URL del artefacto público https://urlscan.io/domain/chosei-kai.com
- URL del artefacto público https://otx.alienvault.com/indicator/domain/chosei-kai.com
- URL del artefacto público https://web.archive.org/web/*/chosei-kai.com/
- Observación del analista The exact urlscan records establish the former phishing page and its subsequent removal; the OTX pulse is only a domain indicator without an exact sample or behavior record.
- Observación del analista Wayback CDX exposed successful root and medical-site records beginning in 2013 and continuing through 2026; archive coverage is incomplete.
La agregación externa actual conservaba fuera de Gridinsoft siete etiquetas maliciosas y una sospechosa de blacklist del dominio, con resultados adversos separados de Avira y Norton. No identificaban URL actual, receptor de credenciales, archivo, payload, hash ni rastro de ejecución. La búsqueda pública de Triage no devolvió informe; los detalles de Hybrid Analysis, ANY.RUN, Joe Sandbox, URLQuery, URLhaus API y ThreatFox API no estaban disponibles o exigían autenticación y se trataron como desconocidos. Los feeds públicos recientes de OpenPhish, URLhaus y ThreatFox no tenían coincidencia exacta.
- Observación del analista The current aggregate matrix retained alphaMountain.ai, Chong Lua Dao, CyRadar, Fortinet, Lionic, SOCRadar, VIPRE, and Forcepoint ThreatSeeker domain-level results; direct Avira and Norton results were also adverse.
- Observación del analista Bitdefender categorized the site as health and did not return a malicious result.
- Observación del analista No accessible external record beyond the historical Shaw pages supplied a current exact harmful object or behavioral sandbox trace.
- Observación del analista Unavailable or authentication-restricted sources were treated as unknown rather than clean.
La revisión actual no reprodujo la imitación histórica de Shaw, un receptor externo de credenciales, redirección ajena, entrega automática de ejecutable o archivo, archivo malware, payload, hash, exploit ni rastro de ejecución dañina. El informe actual de Gridinsoft tampoco contenía una señal positiva propia de comportamiento que respaldara la categoría Phishing activa. La página phishing histórica de ruta exacta sigue siendo un incidente pasado confirmado, mientras que las categorías actuales de blacklist del dominio son contexto reputacional más amplio.
- Observación del analista No current phishing page, credential receiver, malware file, payload, hash, exploit, or harmful execution trace was reproduced.
- Observación del analista The fresh Gridinsoft report contained no positive first-party behavior signal supporting the active Phishing classification.
- Observación del analista A concrete historical object and a current domain-wide blacklist category are distinct evidence classes; only the former was directly demonstrated, and it is no longer served.
Alcance y limitaciones
- El veredicto se aplica al apex público actual, alias www, muestra de páginas revisada, formularios públicos y rutas históricas identificadas. No se evaluaron contenido autenticado, archivos privados, código del servidor, bases de datos, logs, buzones, estado administrativo ni cambios futuros.
- No se envió ningún formulario de contacto o contratación ni se introdujeron credenciales, datos personales, datos de pago o códigos de un solo uso. La interfaz phishing histórica se inspeccionó desde metadatos e imágenes preservados por escáneres públicos, sin interactuar con ella.
- La respuesta histórica preservada y la captura prueban una interfaz Shaw de correo y contraseña, pero no una credencial enviada, pérdida de víctima, archivo malware, ejecución de payload, identidad del operador ni atribución criminal; no se realiza ninguna de esas afirmaciones más fuertes.
- El endpoint actual del sitemap de WordPress devolvió HTTP 404, así que la revisión pública usó un recorrido acotado de dos niveles desde la navegación activa. Solicitó 79 páginas del mismo sitio: 78 devolvieron HTTP 200 y una ruta de imagen obsoleta devolvió HTTP 404.
- Los índices públicos de búsqueda, escáneres de URL, sandbox, inteligencia, feeds y archivos son incompletos. Las fuentes no disponibles o restringidas por autenticación se trataron como desconocidas, no como limpias.
- Un veredicto actual Seguro no borra el incidente phishing histórico confirmado ni certifica contenido futuro; indica que la clasificación Phishing amplia activa no estaba respaldada por evidencia propia actual reproducible dentro del alcance revisado.
¡Ayuda a proteger a los demás compartiendo esta página en las redes sociales! Cuanta más gente sepa de chosei-kai.com, menos oportunidades tendrán de engañar a alguien. ¡Ayuda a otros a evaluar chosei-kai.com compartiendo esta página en las redes sociales!