Lo que Gridinsoft observó en goldmountaingolf.com
Un analista de amenazas de Gridinsoft revisó directamente el sitio y documentó las pruebas que sustentan esta decisión.
GMA-20260903025100-d840ea64
- Revisado
- por Gridinsoft, Analista de amenazas
- Hallazgo del analista
- Phishing
- Base probatoria
- Análisis propio del sitio Inteligencia de proveedores externos: Solo contexto; no se usó para esta decisión
El contenido legítimo del campo de golf no convierte esta solicitud en un falso positivo. Un cargador dirigido al checkout, capaz de inyectar JavaScript de terceros en un formulario activo de pago con tarjeta, se reproduce directamente y ha persistido en páginas archivadas y actuales. Se mantiene la clasificación existente de Phishing. La falta de disponibilidad del endpoint de segunda fase limita las afirmaciones sobre el payload entregado actualmente, pero no elimina el compromiso del código del sitio.
Hallazgos del analista
Revisión con 5 observaciones documentadas Ver pruebas
El sitio revisado presentó el contenido esperado de Gold Mountain Golf Club. Su sitemap público expuso rutas normales de golf, restaurante, eventos, tienda, carrito y checkout; en la navegación revisada no se reprodujo una redirección automática de nivel superior ajena ni una descarga ejecutable.
-
Estado HTTP
200 -
URL final
https://goldmountaingolf.com/ - Observación del analista El contenido visible del operador es coherente con un sitio de campo de golf y hospitalidad, pero esa presentación legítima no elimina el compromiso separado del código del checkout.
En el pie del sitio activo había un elemento de script identificado como gli0. Comprueba si la ruta del navegador contiene checkout, envía una solicitud POST a https://brisca.sbs/, decodifica la respuesta como URL de origen JavaScript y añade ese script externo a la página. El mismo cargador inyectado se reprodujo en páginas ordinarias, mientras que su comportamiento condicional apunta a la ruta de checkout.
- Elemento de página elemento de script con id gli0
- URL del artefacto público https://brisca.sbs/
- Observación del analista El cargador añade dinámicamente una fuente JavaScript de terceros solo cuando la ruta actual contiene checkout.
Tras añadir un producto actualmente listado a un carrito temporal, el checkout devolvió HTTP 200 y mostró campos para el número de tarjeta, mes y año de vencimiento y código de seguridad. El cargador externo dirigido al checkout estaba presente en esa misma respuesta.
-
Estado HTTP
200 -
URL final
https://goldmountaingolf.com/checkout/ - Elemento de página campos de número de tarjeta de crédito, fecha de vencimiento y código de seguridad
El endpoint externo del cargador devolvió DNS NXDOMAIN desde dos ubicaciones de red independientes. Por ello, durante esta revisión no se pudo recuperar ni observar una URL de payload, bytes del payload, hash de archivo, envío de credenciales ni transmisión de datos de tarjeta.
- Dato DNS brisca.sbs devolvió NXDOMAIN para consultas A, AAAA y NS
- Observación del analista No había disponible para análisis un script actual de segunda fase ni un hash del payload.
Las capturas archivadas de la página de inicio de 2017, 2019, 2022, enero de 2025 y 2 de julio de 2025 no contenían el cargador gli0. Una captura del 11 de octubre de 2025 contenía el mismo cargador dirigido al checkout y el endpoint https://brisca.sbs/ al igual que capturas posteriores revisadas de noviembre de 2025 y mayo y junio de 2026.
- URL del artefacto público https://web.archive.org/web/20250702200013/https://goldmountaingolf.com/
- URL del artefacto público https://web.archive.org/web/20251011153447/https://goldmountaingolf.com/
- Observación del analista El archivo revisado establece la introducción entre el 2 de julio y el 11 de octubre de 2025 y la persistencia en el sitio actual; no establece cuándo estuvo activa la segunda fase no disponible.
Alcance y limitaciones
- No se pudo recuperar el payload exacto de segunda fase porque brisca.sbs devolvió NXDOMAIN durante la revisión.
- No se completó ningún pago ni se enviaron datos reales de tarjeta; el checkout se revisó con un carrito temporal y sin realizar un pedido.
- La cronología del archivo establece cuándo el cargador estaba ausente y presente en las capturas revisadas, no el historial completo de activación del payload remoto.
- El resultado se aplica al dominio y al comportamiento público del checkout observado en el momento registrado; la remediación exige eliminar el código inyectado y revisar de nuevo el flujo exacto.
¡Ayuda a proteger a los demás compartiendo esta página en las redes sociales! Cuanta más gente sepa de goldmountaingolf.com, menos oportunidades tendrán de engañar a alguien. ¡Ayuda a otros a evaluar goldmountaingolf.com compartiendo esta página en las redes sociales!