Lo que Gridinsoft observó en Dra.com.ve
Un analista de amenazas de Gridinsoft revisó directamente el sitio y documentó las pruebas que sustentan esta decisión.
GMA-20260824005900-81d1bb14
- Revisado
- por Gridinsoft, Analista de amenazas
- Hallazgo del analista
- Seguro
- Base probatoria
- Análisis propio del sitio Inteligencia de proveedores externos: Contexto contradictorio; no se usó para esta decisión
La revisión independiente actual respalda Seguro para dra.com.ve y su host www canónico. El incidente histórico fue real: la URL exacta ds5.txt sirvió un bot IRC funcional en Perl al menos desde 2026-07-29 hasta capturas públicas de 2026-08-15. Ya no se sirve. Las comprobaciones actuales con cuatro perfiles devolvieron la página HTTP 404 normal en esa ruta, y un rastreo completo de las 128 URL actuales de los sitemaps no encontró entrega de malware, redirección ajena, página inyectada, robo de credenciales, descarga automática ni otro objeto dañino exacto. Un nuevo escaneo de Gridinsoft alcanzó el sitio activo, pero conservó únicamente la firma amplia de dominio de 2026-07-30 con positive_signals=[] y sin base actual a nivel de objeto. Las etiquetas externas actuales de listas negras son contexto contradictorio, no evidencia de que la muestra eliminada siga activa. Por ello, la categoría amplia de Gridinsoft contradecía el estado actual reproducible y debía eliminarse. Las carencias documentadas de refuerzo merecen corrección, pero no demuestran conducta maliciosa actual. Seguro describe solo el despliegue público revisado ahora.
Hallazgos del analista
Revisión con 7 observaciones documentadas Ver pruebas
El objeto exacto informado anteriormente devolvió HTTP 404 con el HTML normal Page not found de D’Empaire para perfiles de escritorio, móvil, rastreador de Google y revisión de Gridinsoft. Las cuatro respuestas tuvieron la misma URL final y el mismo contenido; ninguna devolvió el antiguo archivo de texto, una descarga ni una redirección ajena.
-
Estado HTTP
404 -
URL final
https://www.dra.com.ve/wp-content/languages/plugins/ds5.txt - Tipo MIME text/html; charset=UTF-8
- Elemento de página Los cuatro perfiles devolvieron el título Page not found : D’Empaire y el texto visible Error 404, page not found.
Un rastreo acotado revisó las 128 URL únicas de los sitemaps actuales de páginas, abogados y áreas de práctica. Todas las URL finales permanecieron en www.dra.com.ve; 127 devolvieron HTTP 200 y la ruta splash obsoleta devolvió la misma página HTTP 404 normal. Ninguna página revisada hizo referencia a ds5.txt, una descarga ejecutable o de archivo, un destino ajeno, un iframe inyectado ni un flujo de captura de credenciales.
- Observación del analista El conjunto actual de sitemaps contenía 128 URL únicas del mismo origen; 127 devolvieron HTTP 200 y una ruta splash obsoleta devolvió HTTP 404.
- Observación del analista Cada URL final revisada usó www.dra.com.ve, y ninguna página revisada hizo referencia a una descarga ejecutable, instalador, archivo, paquete de scripts, paquete móvil o ds5.txt.
- Elemento de página El único iframe encontrado fue el fallback esperado de Google reCAPTCHA en las dos páginas de contacto del mismo origen; sus formularios publicaban en anclas de contacto del mismo origen.
- Observación del analista Los hosts externos de contenido revisados se limitaron a cdn.jsdelivr.net, Font Awesome, Google, Google Tag Manager, LinkedIn, gmpg.org y el propio sitio.
El endpoint raíz redirigió una vez a la página canónica https://www.dra.com.ve/ que devolvió HTTP 200. Los resolvers de Cloudflare, Google y Quad9 devolvieron la misma dirección para el dominio raíz y www. El certificado activo cubría ambos nombres y era válido hasta 2026-11-12.
-
Estado HTTP
200 -
Destino de redirección
https://www.dra.com.ve/ - Dato DNS Cloudflare, Google y Quad9 resolvieron dra.com.ve y www.dra.com.ve a 216.70.101.123 durante la revisión.
- Dato del certificado El certificado de Let’s Encrypt cubría dra.com.ve y www.dra.com.ve y era válido desde 2026-08-14 hasta 2026-11-12.
Un nuevo escaneo compatible de Gridinsoft alcanzó el sitio actual con HTTP 200, pero conservó la firma amplia Suspicious Website de 2026-07-30. El informe actual mostró una lista vacía de señales positivas y no identificó URL maliciosa actual exacta, archivo, payload, destino de redirección, exploit, comando o hash que respaldara esa categoría para todo el dominio.
-
Estado HTTP
200 - Observación del analista El informe nuevo devolvió positive_signals=[] para el despliegue actual.
- Observación del analista La firma de dominio conservada estaba fechada 2026-07-30 y no contenía un objeto malicioso actual exacto ni una traza de comportamiento.
La evidencia pública histórica confirmó que la ruta informada fue un objeto malicioso real y no una falsa alarma. Los registros públicos de urlscan devolvieron HTTP 200 y text/plain para esta URL exacta desde 2026-07-29 hasta 2026-08-06. Una captura de Wayback de 2026-08-15 conservó un ShellBOT en Perl que se conectaba a un canal de mando IRC e implementaba shell remota, descarga, escaneo de puertos, conexión inversa, correo y funciones de inundación UDP. Los registros posteriores de urlscan de 2026-08-18 y 2026-08-21 devolvieron HTTP 404.
- URL del artefacto público https://urlscan.io/result/019fae2b-4fcd-753c-9b67-8f8f33e81294/
- URL del artefacto público https://urlscan.io/result/019fd58e-bcbe-750f-bb3a-c5ea6a891a5f/
- URL del artefacto público https://urlscan.io/result/01a0157c-ea57-7499-be36-bf6116ad1c00/
- Observación del analista La respuesta archivada de 2026-08-15 contenía 32,438 bytes de código fuente Perl text/plain, se identificaba como ShellBOT y exponía funciones de administración remota y ataque controladas por IRC.
- Observación del analista El registro histórico del objeto exacto y el estado 404 actual establecen un compromiso limitado en el tiempo y su eliminación; no establecen conducta maliciosa actual en todo el dominio.
OTX enumeró dos pulses derivados de URLHaus para el hostname www exacto e identificó la URL ds5.txt, mientras que la entrada del dominio registrable no tenía pulse. Los índices públicos de malware identificaron el archivo preservado como malware de botnet. Por separado, la instantánea externa actual del dominio aún contenía etiquetas maliciosas o sospechosas de listas negras, pero no nombraba una ruta dañina actualmente accesible ni una traza de conducta actual. Los índices web públicos asociaban de forma consistente el dominio raíz con el bufete D’Empaire de larga trayectoria.
- URL del artefacto público https://otx.alienvault.com/indicator/hostname/www.dra.com.ve
- URL del artefacto público https://otx.alienvault.com/indicator/domain/dra.com.ve
- Observación del analista El identificador de URL de VirusTotal proporcionado corresponde a http://www.dra.com.ve/, no al objeto histórico ds5.txt.
- Observación del analista Los resultados externos actuales del dominio siguieron siendo clasificaciones de listas negras y no reprodujeron el objeto exacto eliminado; los resultados externos fueron solo contexto.
- Observación del analista Directorios jurídicos públicos independientes y perfiles profesionales identificaron de forma consistente www.dra.com.ve como el sitio de D’Empaire, un bufete venezolano fundado en 1972.
La respuesta raíz actual no incluía HSTS, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy ni Permissions-Policy, y plesk.dra.com.ve exponía el acceso al panel de control de alojamiento. Son preocupaciones actuales de superficie de ataque y refuerzo tras un compromiso reciente, pero no se reprodujo exploit, acceso no autorizado, contenido inyectado ni respuesta maliciosa.
- Elemento de página La respuesta raíz revisada exponía cabeceras de servidor y plataforma, pero ninguna de las cabeceras de política de seguridad del navegador enumeradas.
-
URL final
https://plesk.dra.com.ve:443/login.php - Observación del analista El endpoint del panel mostró el acceso esperado de Plesk y no fue autenticado, sometido a prueba de penetración ni tratado como evidencia de compromiso.
Alcance y limitaciones
- El veredicto se aplica a dra.com.ve, www.dra.com.ve y la ruta exacta ds5.txt accesibles públicamente en el momento registrado; no borra ni contradice el compromiso histórico confirmado.
- La revisión no accedió al sistema de archivos privado del servidor, base de datos, cuenta Plesk, administrador de WordPress, repositorio fuente, canal de despliegue, copias de seguridad, telemetría de endpoints ni logs del servidor; por ello no se auditaron de forma independiente las medidas internas de corrección del solicitante.
- El archivo Perl archivado se revisó de forma estática y no se ejecutó ni se le permitió contactar con su infraestructura configurada.
- No se envió ningún formulario de contacto ni se ejerció ninguna función administrativa o autenticada.
- Los índices públicos de búsqueda, escaneo de URL, sandbox, threat intelligence, certificados y archivos son incompletos. Los resultados de APIs con autenticación que no pudieron obtenerse se trataron como no verificados, no como limpios.
- El acceso público de Plesk no fue sometido a prueba de penetración. Su presencia y la ausencia de cabeceras de políticas de seguridad son preocupaciones de refuerzo, no prueba de compromiso actual.
- Seguro describe la conducta de seguridad actual observada y no garantiza contenido futuro, integridad de infraestructura ni inmunidad ante otro compromiso.
¡Ayuda a proteger a los demás compartiendo esta página en las redes sociales! Cuanta más gente sepa de dra.com.ve, menos oportunidades tendrán de engañar a alguien. ¡Ayuda a otros a evaluar dra.com.ve compartiendo esta página en las redes sociales!