Lo que Gridinsoft observó en Weecnetwork.org
Un analista de amenazas de Gridinsoft revisó directamente el sitio y documentó las pruebas que sustentan esta decisión.
GMA-20260824193017-c20346da
- Revisado
- por Gridinsoft, Analista de amenazas
- Hallazgo del analista
- Sitio web sospechoso
- Base probatoria
- Análisis propio del sitio Inteligencia de proveedores externos: Solo contexto; no se usó para esta decisión
Se mantiene la clasificación de Sitio web sospechoso porque la implementación pública actual sirve un cargador ofuscado en varias páginas. El cargador contacta con un host distinto y está diseñado para ejecutar en los navegadores de los visitantes el JavaScript suministrado de forma remota.
Hallazgos del analista
Revisión con 5 observaciones documentadas Ver pruebas
El host raíz sirvió el contenido esperado de WEEC Network junto con un script insertado y ofuscado. El host www redirigió a la misma implementación raíz.
-
Estado HTTP
403 -
URL final
https://weecnetwork.org/ -
Destino de redirección
https://weecnetwork.org/ - Dato DNS weecnetwork.org resolvió a 86.107.36.146; www.weecnetwork.org era un alias del host raíz.
El mismo cargador insertado y ofuscado de 23.144 bytes se sirvió en doce páginas públicas muestreadas, entre ellas la página principal, páginas de la organización, páginas de conferencias, la página de socios y la página del boletín.
- SHA-256 del archivo 0e5be0cc5c0c73d8ff691e89f8a84623a36000cb0790a4cfabf09d269869d5f1
- Observación del analista El cargador idéntico estaba presente en estas rutas: /, /about/, /charter-of-principles/, /board-and-past-socio-scientific-committees/, /secretary-general/, /permanent-secretariat/, /world-environmental-education-day/, /virtual-conference/, /congress/, /no-limits-to-hope/, /partners/ y /newsletter/.
El análisis estático aislado mostró que el cargador recopila el estado del navegador, envía solicitudes POST cifradas a forecast-chaos.com, descifra la respuesta, la analiza como JSON y ejecuta el JavaScript incluido en ella. Esto permite ejecutar código remoto en el navegador de un visitante.
- URL del artefacto público https://forecast-chaos.com/x9i32md/w1/la02
- URL del artefacto público https://forecast-chaos.com/x9i32md/w1/uf3j
- URL del artefacto público https://forecast-chaos.com/x9i32md/w1/sci5
- Observación del analista El código se descodificó en un entorno aislado en el que el acceso a la red fue sustituido por una función de captura local; no se ejecutó ninguna respuesta del servicio remoto.
Durante esta revisión no se recuperó ningún archivo descargado específico, carga útil de segunda etapa ni hash de carga útil. El objeto dañino observado directamente es el cargador insertado activo y su ruta de ejecución de código remoto, no una muestra ejecutable conservada.
- Observación del analista La revisión no envió las solicitudes POST cifradas del cargador al host remoto ni ejecutó ningún código devuelto.
Se completó un nuevo análisis actual de Gridinsoft y la implementación pública continuó sirviendo el sitio revisado mientras la clasificación activa permanecía como Sitio web sospechoso.
-
Estado HTTP
403 -
URL final
https://weecnetwork.org/
Alcance y limitaciones
- La revisión cubrió la implementación pública actual y doce páginas públicas representativas; no estaban disponibles los archivos privados del servidor, las cuentas de administrador, el historial de implementación, las tareas programadas ni los registros.
- No se contactó con el servicio remoto mediante la solicitud cifrada del cargador ni se ejecutó ningún código devuelto, por lo que esta revisión no identifica un archivo específico de segunda etapa, un hash de carga útil ni un señuelo final visible para el usuario.
- La revisión establece el comportamiento actual del cargador, pero no atribuye quién lo colocó en el sitio ni determina el método de acceso inicial.
¡Ayuda a proteger a los demás compartiendo esta página en las redes sociales! Cuanta más gente sepa de weecnetwork.org, menos oportunidades tendrán de engañar a alguien. ¡Ayuda a otros a evaluar weecnetwork.org compartiendo esta página en las redes sociales!