Ce que Gridinsoft a observé sur baikuder.com
Un analyste des menaces de Gridinsoft a examiné directement le site et documenté les éléments qui fondent cette décision.
GMA-20260903173912-fa772fd5
- Analysé
- par Gridinsoft, Analyste des menaces
- Conclusion de l’analyste
- Sûr
- Base factuelle
- Analyse directe du site Renseignements de fournisseurs externes : Contexte contradictoire — non utilisé pour cette décision
L’examen indépendant actuel conclut à Sûr pour le déploiement public observé de baikuder.com. Les 51 pages et publications publiques actuelles ont servi le même site de fournitures de bureau, sans formulaire de phishing, redirection étrangère, livraison d’exécutable ou d’archive, payload malveillant ni action nuisible. Les preuves publiques urlscan confirment que /sima/index2.php était une demande de mot de passe concrète aux couleurs de Microsoft en octobre 2022 et que /sima.zip a été enregistré comme archive étiquetée phishkit. Ces chemins exacts renvoient maintenant HTTP 404 et sont absents de l’inventaire actuel. Les indicateurs SOCRadar et OTX restants constituent un contexte actuel de blacklist de domaine ou de flux en masse sans objet exact actif. Ils contredisent le résultat First-Party actuel, mais ne justifient pas le maintien d’un avertissement général Gridinsoft pour le déploiement examiné aujourd’hui. Le durcissement et la surveillance continus de WordPress restent appropriés puisque l’incident historique était concret.
Conclusions de l’analyste
Analyse avec 8 observations documentées Voir les éléments
La racine HTTPS a servi le site de fournitures de bureau Baikuder, et la racine HTTP ainsi que les variantes www ont convergé vers le même apex HTTPS. L’API publique WordPress a recensé 12 pages et 39 publications de produits ou d’actualités. Les 51 URLs publiques actuelles uniques ont renvoyé HTTP 200 sur baikuder.com sans hôte final étranger.
-
Statut HTTP
200 -
URL finale
https://baikuder.com/ - Élément de page L’inventaire public actuel contenait 51 pages et publications uniques sur le même hôte ; les 51 ont renvoyé HTTP 200.
- Élément de page Le catalogue examiné présentait des organiseurs de bureau, des produits de classement et de rangement, des fournitures professionnelles, des articles d’écriture et des pages de produits CLS individuelles.
Les pages About, Contact, politiques, catalogue et produits identifiaient toutes Baikuder comme la marque de fournitures de bureau de CLS Industry Inc. Les coordonnées correspondaient au site d’entreprise CLS distinct. Le seul formulaire de l’inventaire public actuel était un formulaire de contact de même origine demandant les champs ordinaires nom, email, objet et message ; aucun mot de passe, code à usage unique, carte de paiement ou connexion d’une marque étrangère n’était présent. Le formulaire n’a pas été envoyé.
- Élément de page Les pages About et Contact identifient CLS Industry Inc., son adresse à Taiwan, [email protected] et +886-4-22352206.
- URL de l’artefact public https://www.cls.com.tw/CLS_Story.php
- Élément de page L’action du formulaire de contact était /contact/ sur baikuder.com.
- Observation de l’analyste Aucun formulaire public actuel ne demandait de mot de passe, code à usage unique, numéro de carte de paiement, secret de wallet ou identifiant d’un compte étranger.
L’apex et www se résolvaient via Cloudflare et servaient le même site. Le certificat actuel couvrait baikuder.com et *.baikuder.com du 2026-07-10 au 2026-10-08. DNS publiait aussi mail.cls.com.tw comme échangeur de courrier et un enregistrement de validation de site Google. L’adressage partagé de Cloudflare est un contexte d’infrastructure et n’établissait à lui seul ni comportement nuisible ni comportement sûr.
- Élément DNS baikuder.com et www.baikuder.com se résolvaient vers des adresses anycast Cloudflare pendant l’examen.
- Élément DNS La cible MX était mail.cls.com.tw et l’apex publiait un enregistrement TXT de validation de site Google.
- Élément de certificat Certificat Let's Encrypt YE1 valide du 2026-07-10 au 2026-10-08 pour baikuder.com et *.baikuder.com.
- Observation de l’analyste Le placement sur le réseau partagé Cloudflare a été traité uniquement comme contexte d’infrastructure, pas comme constat de menace ni garantie de site propre.
L’inventaire public actuel complet de 51 URLs et son contenu rendu par WordPress ne contenaient aucun lien vers un exécutable, un installateur, un paquet mobile, un paquet de scripts ou une archive. La navigation examinée n’a lancé aucun téléchargement automatique ni redirection étrangère, et aucun fichier malveillant actuel, URL de payload, hash de payload, destinataire d’identifiants, exploit ou action nuisible précis n’a été identifié.
- Observation de l’analyste Aucun lien .exe, .msi, .apk, .dmg, .zip, .rar ou .7z n’était présent dans le contenu public actuel des pages et publications.
- Observation de l’analyste Aucun téléchargement automatique, hôte final étranger, formulaire de phishing actuel, payload malveillant ou exécution nuisible n’a été reproduit.
Les enregistrements publics urlscan établissent un incident historique concret plutôt qu’une simple étiquette de domaine. Le 2022-10-11, un scan de /sima/index2.php provenant d’OpenPhish a renvoyé HTTP 200 avec le titre 'Sign in to your account' ; la capture conservée montrait une demande de mot de passe aux couleurs de Microsoft sur l’hôte non-Microsoft baikuder.com. Un scan distinct a enregistré /sima.zip comme application/zip avec les étiquettes miteru et phishkit. Les octets du ZIP et un hash de fichier n’étaient pas disponibles dans l’enregistrement public récupéré ; aucune famille de malware ni exécution n’est donc affirmée pour cette archive.
- URL de l’artefact public https://urlscan.io/result/00cc286b-e90d-4d7a-b357-cc493892c708/
- URL de l’artefact public https://urlscan.io/result/d98a3d83-428e-437e-b928-bd7fa9ae467b/
-
Statut HTTP
200 - Type MIME application/zip
- Observation de l’analyste La page historique demandait visiblement un mot de passe sous la marque Microsoft sur baikuder.com ; les preuves récupérées n’établissaient pas où les données saisies étaient envoyées.
- Observation de l’analyste Le ZIP historique a été enregistré et étiqueté phishkit, mais ses octets, son hash et sa trace d’exécution sandbox n’étaient pas disponibles pour cet examen.
Les chemins historiques /sima, /sima/, /sima/index2.php, /sima/index2.php/ et /sima.zip ont chacun renvoyé la page HTTP 404 actuelle de Baikuder en text/html. Aucun n’apparaissait dans l’inventaire public actuel des pages ou publications. Des observations urlscan ultérieures de 2022 à 2026 montrent que le chemin de collecte d’identifiants est passé par des réponses 403 ou 500 avant des pages 404 ordinaires.
-
Statut HTTP
404 - Type MIME text/html; charset=UTF-8
- Observation de l’analyste Les cinq variantes /sima testées ont renvoyé HTTP 404 et aucune n’était liée depuis l’inventaire public actuel de 51 URLs.
- URL de l’artefact public https://urlscan.io/domain/baikuder.com
L’hôte exact contesté est aussi le domaine parent enregistrable ; les recherches d’hôte exact et de domaine parent concernent donc le même apex, tandis que www a été examiné séparément. urlscan a renvoyé 25 enregistrements publics, dont l’URL de phishing et le ZIP concrets de 2022, puis des pages racine et réponses 404 ultérieures. OTX a renvoyé des pulses répétés de flux de phishing en masse de 2026 avec baikuder.com comme indicateur de domaine et sept observations URL ; sa plus récente observation racine montrait HTTP 200 sans correspondance Google Safe Browsing. Le flux actuel OpenPhish et les recherches publiques exactes dans Hybrid Analysis, Triage, ANY.RUN, URLhaus ainsi que pour les URLs historiques exactes n’ont donné aucune correspondance actuelle au niveau sample. Les APIs indisponibles ou accessibles uniquement avec authentification n’ont pas été considérées comme propres.
- URL de l’artefact public https://urlscan.io/domain/baikuder.com
- URL de l’artefact public https://otx.alienvault.com/indicator/domain/baikuder.com
- Observation de l’analyste Une page de phishing historique précise a pu être distinguée indépendamment des indicateurs actuels de blacklist de domaine et de flux en masse.
- Observation de l’analyste Aucun sample malveillant actuel, hash de payload ou URL exacte nuisible active n’a été trouvé dans les indices publics examinés de scanners, sandbox, threat intelligence ou feeds.
Le service de disponibilité d’Internet Archive a signalé des snapshots apex réussis du 2018-08-06 et du 2019-08-15. Il n’a signalé aucun snapshot stocké pour /sima/index2.php ou /sima.zip. La relecture directe et la liste CDX étaient indisponibles pendant l’examen ; le contenu apex archivé n’a donc pas servi à affirmer ce que ces pages affichaient. Le site actuel et les données publiques d’enregistrement montrent séparément une continuité ancienne du domaine et de l’activité.
- URL de l’artefact public https://web.archive.org/web/20180806074937/http://baikuder.com/
- URL de l’artefact public https://web.archive.org/web/20190815203022/http://baikuder.com/
- Observation de l’analyste La disponibilité de l’archive a identifié deux captures apex réussies, mais aucune capture de l’un des objets historiques exacts sous /sima dans les deux cas.
- Observation de l’analyste La relecture d’archive indisponible a été enregistrée comme limitation et non interprétée comme contenu propre.
Périmètre et limites
- L’hôte exact contesté est aussi le domaine parent enregistrable ; l’OSINT de l’hôte exact et du domaine parent se rapporte donc au même apex baikuder.com. La variante www a été examinée séparément.
- L’examen a couvert le rapport Gridinsoft actuel, les redirections HTTP et www, les 51 pages et publications WordPress publiques actuelles, la navigation, les formulaires, les téléchargements liés, les chemins historiques exacts /sima, DNS, TLS, les scanners d’URL publics, les indices de threat intelligence, les recherches d’indices sandbox, un flux de phishing actuel et les métadonnées d’archive disponibles.
- Aucun formulaire n’a été envoyé, aucun compte créé, aucun identifiant ou renseignement personnel saisi, et aucun exécutable ou archive n’a été exécuté.
- L’examen n’a pas inspecté les fichiers privés du serveur, logs, comptes administrateur, mailboxes, endpoints non publiés, l’administration WordPress ni la cause interne de la publication de phishing de 2022.
- L’enregistrement historique /sima.zip exposait son URL, son type MIME et son étiquette phishkit, mais pas d’octets récupérables, de hash de fichier ou de trace d’exécution sandbox. Aucune famille de malware ni comportement de payload précis n’est attribué à cette archive.
- La relecture et la liste CDX d’Internet Archive étaient indisponibles, tandis que son API de disponibilité signalait des snapshots apex mais aucun des objets exacts sous /sima dans le périmètre examiné. Les sources indisponibles ou accessibles uniquement avec authentification ont été enregistrées comme non vérifiées, pas comme propres.
- Les indices publics de recherche, scanners d’URL, threat intelligence, sandbox, feeds et archives sont incomplets ; l’absence dans un index ne prouve pas qu’un événement non indexé n’a jamais eu lieu.
- Sûr décrit le déploiement public et les chemins exacts observés au moment enregistré. Il ne garantit pas le contenu futur, l’état privé du serveur, la sécurité des plugins WordPress, la sécurité des comptes ni qu’une compromission corrigée ne puisse se reproduire.
Aidez à protéger les autres en partageant cette page sur les réseaux sociaux ! Plus il y a de personnes informées au sujet de baikuder.com, moins elles risquent de tromper quelqu'un. Aidez les autres à évaluer baikuder.com en partageant cette page sur les réseaux sociaux !