Flow.page análisis de Sitio web sospechoso

El informe actualizado de Gridinsoft registra Suspicious Website en lugar de Phishing o Malware. La categoría más limitada refleja el riesgo actual por URL dentro de un namespace de páginas controlado por usuarios; no afirma que el apex del operador ni cada página de cliente sean dañinos.

• URL del artefacto público https://gridinsoft.com/online-virus-scanner/url/flow-page
• Elemento de página Suspicious Website
• Observación del analista La clasificación actual es más limitada que una afirmación de phishing o malware para todo el dominio.

El apex completó dos redirecciones HTTP y devolvió la página de producto de Flowcode con HTTP 200. El flujo raíz revisado no mostró formulario de credenciales, descarga automática, archivo malware ni destino ajeno cambiante.

• Estado HTTP 200
• URL final https://www.flowcode.com/product/flowhubs
• Elemento de página Mobile Landing Page Builder | Campaign Hubs | Flowcode

La ruta exacta creada por un usuario devolvió HTTP 200 y seguía activa y sin verificar. Presentaba un señuelo de tres documentos no leídos y un enlace PREVIEW DOCUMENT HERE hacia un hostname generado ajeno. Ese destino no resolvió en dos solicitudes actuales, por lo que no se observó un receptor actual de credenciales, archivo descargado, payload ni hash más allá de la página señuelo activa.

• Estado HTTP 200
• URL final https://flow.page/auxx
• Elemento de página You!Ve received (3) Unread Documents!
• Elemento de página PREVIEW DOCUMENT HERE
• Destino de redirección https://2aluxbmc2q.scracrahup.tech/
• Dato DNS 2aluxbmc2q.scracrahup.tech no resolvió durante dos comprobaciones actuales.

Una segunda ruta exacta creada por un usuario devolvió HTTP 200 y seguía activa y sin verificar. Mostraba CLICK HERE TO UPDATE y enlazaba a un objeto con nombre de Yahoo en almacenamiento de terceros. El destino devolvió actualmente HTTP 400, por lo que la revisión no reprodujo allí un formulario activo de credenciales, descarga ni payload.

• Estado HTTP 200
• URL final https://flow.page/yahoo898
• Elemento de página CLICK HERE TO UPDATE
• Destino de redirección https://yahoo768.s3.us-east-005.backblazeb2.com/yahoo.html
• Observación del analista El destino de terceros devolvió HTTP 400 durante la revisión actual.

Otras cinco rutas indexadas de la muestra acotada redirigieron a la página de moderación Flowcode Firewall: thjg89, skkydoubkle, btinternet20230, currentlysignin y micrroosoftt. Tres rutas de la muestra seguían activas: auxx, yahoo898 y sinisterstealer. Esto confirma moderación activa y también muestra que los objetos actuales de riesgo creados por usuarios no se deshabilitan de forma uniforme.

• URL final https://www.flowcode.com/terms/404-content-mod
• Elemento de página Flowcode Firewall
• Observación del analista Cinco de ocho rutas indexadas de la muestra llegaron a la página de moderación; tres seguían activas.

El OSINT público distinguió objetos exactos de etiquetas amplias de dominio. ANY.RUN registró actividad maliciosa de phishing para la URL exacta auxx el 2024-01-11; la misma ruta señuelo sigue activa hoy, pero su destino externo ya no resuelve. urlscan mostró dos capturas de 2024 de esa URL exacta y más de 5.000 resultados en la zona flow.page. OTX mostró 569 filas de historial de URL de la zona. Wayback indexó numerosas páginas de clientes, pero la consulta acotada no halló una captura de auxx ni yahoo898.

• URL del artefacto público https://any.run/report/5a969a4d9e1daa9802201bed164d74b23d258d02df7468461673169a1cdef6db/245b459c-4c00-4eb2-af97-e6d12e158c76
• URL del artefacto público https://urlscan.io/result/cab08e5b-9713-4037-a24b-3b6061cef81e/
• URL del artefacto público https://otx.alienvault.com/indicator/domain/flow.page
• URL del artefacto público https://web.archive.org/web/20200813201244id_/https://www.flow.page/
• Observación del analista El comportamiento histórico de una URL exacta y una categoría actual de lista negra de dominio son tipos de evidencia distintos y no se trataron como intercambiables.

Un mantenedor de Phishing Database declaró que phish.co.za llevaba semanas fuera de servicio y que los suscriptores, incluido VirusTotal, no estaban sincronizados. El proveedor ya había confirmado que sus listas actuales no contenían entradas de dominio, subdominio ni URL para flow.page. Las comprobaciones directas actuales no encontraron flow.page en seis archivos de listas de GitHub, mientras que los endpoints oficiales de listas públicas devolvieron HTTP 503.

• URL del artefacto público https://github.com/Phishing-Database/Phishing.Database/issues/2282
• URL del artefacto público https://github.com/Phishing-Database/Phishing.Database/issues/2254
• Observación del analista Los datos públicos actuales de origen y la etiqueta de dominio de Phishing Database en VirusTotal estaban desincronizados en el momento de la revisión.

flow.page contiene una superficie legítima del operador y un gran namespace de rutas y subdominios controlado por usuarios. No puede enumerarse públicamente el conjunto completo de objetos actuales, privados, expirados y futuros de clientes. Un apex limpio no demuestra un veredicto Safe para todo el dominio, mientras que una ruta dañina de un cliente no prueba que el operador ni todas las páginas sean maliciosos.

• Observación del analista Los hallazgos futuros de abuso deben identificar y revisar la URL o el subdominio exactos y su destino.
• Observación del analista Eliminar una etiqueta amplia de phishing no sustentada no certifica todo el contenido delegado.