Lo que Gridinsoft observó en Mexicobeach.com
Un analista de amenazas de Gridinsoft revisó directamente el sitio y documentó las pruebas que sustentan esta decisión.
GMA-20260901190040-b2e8ff9e
- Revisado
- por Gridinsoft, Analista de amenazas
- Hallazgo del analista
- Seguro
- Base probatoria
- Análisis propio del sitio Inteligencia de proveedores externos: Contexto contradictorio; no se usó para esta decisión
La implementación pública actual de mexicobeach.com es segura dentro del alcance revisado. El incidente NoChain y ClickFix de agosto queda confirmado de forma independiente por evidencia archivada a nivel de objeto, pero la URL maliciosa del service worker y la inyección de página ya no están presentes, y no se reprodujo ningún objeto o comportamiento malicioso actual en la superficie pública representativa.
Hallazgos del analista
Revisión con 6 observaciones documentadas Ver pruebas
El host www redirigió una vez a la página principal apex del mismo sitio, que devolvió el contenido turístico esperado de Mexico Beach. Los perfiles de Windows, macOS, rastreador y línea de comandos recibieron contenido actual idéntico.
-
Estado HTTP
200 -
URL final
https://mexicobeach.com/ - Observación del analista Cuatro perfiles de solicitud recibieron contenido actual idéntico de la página principal, sin redirección no relacionada, aviso de verificación falso, instrucción para copiar un comando ni descarga automática.
Se revisaron treinta URLs públicas representativas entre 266 entradas del sitemap, incluidas páginas, publicaciones, eventos, lugares, categorías, contacto, privacidad y contenido HTML subido. Las respuestas no contenían el contrato NoChain histórico, registro de service worker, instrucciones ClickFix, comandos PowerShell o mshta ni ejecución mediante el portapapeles.
- URL del artefacto público https://mexicobeach.com/wp-sitemap.xml
- Observación del analista Las páginas actuales muestreadas permanecieron en el sitio turístico esperado y no reprodujeron la inyección histórica ni un objeto malicioso actual.
La URL exacta del service worker usada durante el incidente de agosto ahora devuelve HTTP 404 y las páginas actuales revisadas no la registran ni la referencian.
-
Estado HTTP
404 - Observación del analista Ninguna página actual revisada contenía nochain-sw.js, la dirección histórica del contrato o una llamada serviceWorker.register para ese worker.
Una captura pública del 24 de agosto de 2026 conserva una inyección maliciosa real en la página principal. Registraba /nochain-sw.js y cargaba instrucciones controladas por el atacante mediante el smart contract de Base 0x58460d0b3d4d6b03761c89120393c0c676676496.
- URL del artefacto público https://web.archive.org/web/20260824093544id_/https://mexicobeach.com/
- Elemento de página La página archivada contiene una llamada serviceWorker.register para https://mexicobeach.com/nochain-sw.js y la dirección del contrato de Base 0x58460d0b3d4d6b03761c89120393c0c676676496.
El service worker archivado interceptaba navegaciones HTML, eliminaba cabeceras content-security-policy, inyectaba un script y obtenía instrucciones modificables mediante endpoints RPC públicos de Base. Esto confirma un mecanismo malicioso a nivel de objeto, no solo una etiqueta de lista negra del dominio.
- URL del artefacto público https://web.archive.org/web/20260824093642id_/https://mexicobeach.com/nochain-sw.js
- Elemento de página El worker archivado procesaba solicitudes de navegación, eliminaba cabeceras de respuesta content-security-policy e inyectaba código obtenido mediante el mismo contrato de Base.
Una biblioteca ethers.js independiente sigue accesible públicamente bajo la antigua ruta del plugin, pero su contenido actual no incluye el contrato histórico, el loader, el registro del service worker ni instrucciones ClickFix, y las páginas actuales revisadas no la referencian.
-
Estado HTTP
200 - Tipo MIME application/javascript
- Observación del analista El archivo accesible se identifica como ethers.js 6.16.0; el loader malicioso y la dirección del contrato no están presentes, y ninguna página actual revisada referencia esta ruta.
Alcance y limitaciones
- La revisión cubrió la raíz pública actual sin autenticación, la redirección www, 30 URLs representativas muestreadas entre 266 entradas del sitemap, la URL histórica maliciosa del service worker, DNS y TLS públicos y la evidencia archivada del incidente; no accedió a archivos del servidor, logs, base de datos, administración de WordPress, sistemas de correo ni cuentas privadas.
- Los navegadores que visitaron el sitio durante el incidente pueden conservar un service worker instalado hasta que ejecuten una actualización o anulación del registro. El origen actual devuelve 404 en la antigua URL del worker y no la registra para nuevas visitas, pero no se pudo revisar el almacenamiento de navegadores afectados previamente.
- La biblioteca ethers.js independiente bajo la antigua ruta del plugin sigue accesible públicamente, pero las páginas actuales revisadas no la referencian y no contiene el loader malicioso histórico. No se evaluaron la propiedad ni la limpieza en el servidor del directorio restante del plugin.
- El resultado se aplica al contenido y comportamiento públicos revisados en el momento registrado; contenido futuro o una URL exacta con comportamiento distinto requiere otra revisión.
¡Ayuda a proteger a los demás compartiendo esta página en las redes sociales! Cuanta más gente sepa de mexicobeach.com, menos oportunidades tendrán de engañar a alguien. ¡Ayuda a otros a evaluar mexicobeach.com compartiendo esta página en las redes sociales!