Ce que Gridinsoft a observé sur Balesia.com
Un analyste des menaces de Gridinsoft a examiné directement le site et documenté les éléments qui fondent cette décision.
GMA-20260902172854-78f2ec73
- Analysé
- par Gridinsoft, Analyste des menaces
- Conclusion de l’analyste
- Sûr
- Base factuelle
- Analyse directe du site Renseignements de fournisseurs externes : Contexte contradictoire — non utilisé pour cette décision
L’examen indépendant actuel soutient Safe pour le déploiement public observé de balesia.com. Les entrées HTTP et www ont convergé vers le même site d’entreprise HTTPS; cinq profils ont renvoyé un contenu identique octet par octet. La page et JavaScript n’ont révélé aucun leurre d’identifiants, redirection nuisible, formulaire, livraison d’exécutable ou d’archive, payload ni action nuisible observable. L’historique public d’urlscan prouve une véritable usurpation de Trust Wallet en mars 2023 sur l’ancien serveur 209.45.87.171; le déploiement actuel utilise 82.25.81.25. Les archives ultérieures montrent le site d’entreprise Balesia, l’ancien chemin IRS renvoie 404 et un chemin WordPress listé par OTX sert aujourd’hui exactement le document racine. Les avertissements restants sont des labels de blacklist ou de réputation de domaine sans objet nuisible actuel et ne justifient pas le maintien de l’ancienne classification Phishing de Gridinsoft. Le compromis antérieur général est confirmé; le contenu précis de casino n’a pas été reproduit indépendamment.
Conclusions de l’analyste
Analyse avec 10 observations documentées Voir les éléments
Le nouveau rapport Gridinsoft a atteint le site Balesia Group attendu via une redirection HTTP-vers-HTTPS de même origine. Avant la décision, il conservait une classification générale Phishing issue de l’ancien déploiement, bien que l’observation actuelle de première partie n’ait identifié aucune URL nuisible, récepteur d’identifiants, fichier, payload, hash, exploit ou redirection tierce. Cette contradiction a été corrigée; le rapport actuel affiche Safe.
- URL de l’artefact public https://gridinsoft.com/online-virus-scanner/url/balesia-com
-
Statut HTTP
200 -
URL finale
https://balesia.com/ - Élément de page Balesia Group · Family Office
- Observation de l’analyste Le rapport Gridinsoft antérieur à la décision n’identifiait aucun objet nuisible actuel ni observation actuelle de comportement nuisible.
L’apex HTTP et l’entrée HTTPS www ont convergé vers https://balesia.com/. Les profils ordinateur, mobile, Googlebot, scanner Gridinsoft et référent Google ont tous renvoyé HTTP 200, la même réponse HTML de 23 518 octets, le même SHA-256 et un texte visible normalisé identique. La page identifiait constamment Balesia Group et son portefeuille dans les télécommunications, la technologie, l’infrastructure, la finance et le commerce. Aucun destination dépendante du profil ni login d’une marque tierce n’a été reproduit.
-
Statut HTTP
200 -
URL finale
https://balesia.com/ -
Destination de redirection
https://balesia.com/ - Élément de page Balesia Group · Family Office
- SHA-256 du fichier fa16f8db7ddc35cd08114091036427d68ea2ae50f86f08700248599d2b8fb6ab
- Observation de l’analyste Cinq profils de requête représentatifs ont renvoyé un HTML identique octet par octet et un texte visible normalisé identique.
La page examinée était une présentation d’entreprise statique avec navigation interne au document, contact mailto, ressources locales d’images et de style, Google Fonts et liens explicites vers les sociétés du portefeuille. Elle ne contenait aucun formulaire, champ de mot de passe, iframe, lien exécutable ou d’archive, téléchargement automatique, meta refresh, code obscurci, récepteur d’identifiants, demande de secret de wallet ou redirection automatique tierce. JavaScript ne gérait que les effets visuels, le menu, les compteurs et les liens cliqués par l’utilisateur.
- URL de l’artefact public https://balesia.com/
- URL de l’artefact public https://balesia.com/assets/js/app.js
- Élément de page mailto:[email protected]
- Observation de l’analyste Aucun formulaire actuel, champ de mot de passe, iframe, téléchargement automatique, lien exécutable ou d’archive, récepteur d’identifiants, demande de secret de wallet ou appel de navigation obscurci n’a été trouvé.
L’historique public d’urlscan fournit une preuve concrète au niveau de l’objet d’un ancien compromis. Le 2023-03-30, l’apex HTTPS exact sur l’ancien serveur 209.45.87.171 a renvoyé une page intitulée 'Best Cryptocurrency Wallet | Ethereum Wallet | ERC20 Wallet | Trust Wallet'. Deux autres scans du 2023-03-31 ont observé la même réponse sur le thème du wallet. Il s’agissait d’une réponse trompeuse réellement capturée sur l’ancien déploiement, pas seulement d’un label de blacklist de domaine.
- URL de l’artefact public https://urlscan.io/result/7024c417-2838-4bde-804a-280070bb87ff/
- URL de l’artefact public https://urlscan.io/result/541b4c08-4e79-4390-9188-cfce70c8642c/
- URL de l’artefact public https://urlscan.io/result/98bf7b1f-8a53-4746-893e-2756ba0b7105/
- Élément de page Best Cryptocurrency Wallet | Ethereum Wallet | ERC20 Wallet | Trust Wallet
- Élément DNS La réponse sur le thème du wallet de mars 2023 a été observée sur 209.45.87.171, et non sur le déploiement actuel 82.25.81.25.
Une soumission urlscan de 2019 pour /irs/identity.php a atteint une page de suspension d’hébergement plutôt qu’un formulaire de phishing capturé. Ce chemin exact renvoie maintenant HTTP 404. OTX liste /wp-content/uploads/2019/07/admin-security/Chinese/ comme observation d’URL, mais ce chemin renvoie désormais exactement le même HTML d’entreprise Balesia de 23 518 octets et le même SHA-256 que la racine à cause du routage de repli du site. Aucun des chemins ne présente actuellement l’objet historique suggéré par son nom.
- URL de l’artefact public https://urlscan.io/result/4509e952-8c7e-45a5-aae7-f12aec432aa7/
- URL de l’artefact public https://balesia.com/irs/identity.php
-
Statut HTTP
404 - URL de l’artefact public https://balesia.com/wp-content/uploads/2019/07/admin-security/Chinese/
- SHA-256 du fichier fa16f8db7ddc35cd08114091036427d68ea2ae50f86f08700248599d2b8fb6ab
- Observation de l’analyste Le chemin listé par OTX renvoie actuellement un contenu identique octet par octet à la racine; l’ancien chemin IRS renvoie HTTP 404.
La recherche publique urlscan a renvoyé 19 observations. Ses deux scans apex de 2026 montraient le site Balesia Group sur le déploiement actuel 82.25.81.25 et n’exposaient pas de verdict global malveillant. OTX contenait 27 pulses, mais les données récupérées étaient des listes massives répétées de domaines de phishing de deux auteurs, sans validation, valeur de réputation, famille de malware, hash exact de payload ou trace comportementale. Les recherches publiques du nom exact n’ont révélé aucun autre échantillon actuel dans URLhaus, ThreatFox, PhishTank ou les index publics de sandbox; les sources nécessitant une authentification ont été considérées comme non vérifiées, et non propres.
- URL de l’artefact public https://urlscan.io/domain/balesia.com
- URL de l’artefact public https://otx.alienvault.com/indicator/domain/balesia.com
- Observation de l’analyste Les deux observations apex publiques les plus récentes d’urlscan montraient la page actuelle de Balesia Group sur 82.25.81.25.
- Observation de l’analyste Les pulses OTX récupérés étaient des appartenances à de grandes listes de domaines sans objet actuel validé, famille de malware, hash de payload ou trace d’exécution.
La nouvelle matrice externe contenait 52 résultats inoffensifs, deux malveillants, deux suspects et 34 non détectés après exclusion de Gridinsoft. ADMINUSLabs et Chong Lua Dao conservaient des labels malveillants; alphaMountain.ai et ESET, des labels suspects. Les données indiquaient la méthode blacklist et ne fournissaient aucune URL Balesia actuelle exacte, réponse trompeuse capturée, récepteur d’identifiants, fichier, payload, hash ou comportement de sandbox. Avira et Norton conservaient aussi des avertissements généraux de réputation du domaine.
- Observation de l’analyste Nouvelle matrice externe: 52 inoffensifs, 2 malveillants, 2 suspects et 34 non détectés, hors classification propre de Gridinsoft.
- Observation de l’analyste Les détections nommées restantes étaient des labels de blacklist ou de réputation de domaine sans objet nuisible actuel exact dans les preuves récupérées.
Les métadonnées CDX d’Internet Archive ont renvoyé des snapshots apex réussis de 2016 à juillet 2026. Le snapshot examiné du 2023-06-03 montrait le site Balesia de télécommunications, d’infrastructure et de technologie; des snapshots racine ultérieurs de 2023, 2024, 2025 et 2026 ont suivi l’incident urlscan de mars 2023. Aucun résultat d’archive ou d’index web récupéré ne montrait les pages de casino décrites par le demandeur. Le compromis antérieur général est étayé par l’usurpation de wallet, tandis que l’affirmation précise concernant le casino n’a pas été reproduite indépendamment.
- URL de l’artefact public https://web.archive.org/web/20230603053015id_/https://balesia.com/
- URL de l’artefact public https://web.archive.org/web/20231003213619id_/https://balesia.com/
- URL de l’artefact public https://web.archive.org/web/20260708042430id_/https://balesia.com/
- Élément de page Balesia Group – A Leader In Telecom Infrastructure and Technologies
- Observation de l’analyste Le snapshot examiné de juin 2023 montrait le site d’entreprise Balesia après l’incident sur le thème du wallet de mars 2023.
L’apex résolvait vers 82.25.81.25 et utilisait des serveurs de noms faisant autorité AWS. DNSSEC avait un enregistrement DS publié et CAA autorisait Let's Encrypt. SPF utilisait Microsoft 365 avec -all, DMARC demandait quarantine et deux sélecteurs DKIM Microsoft étaient résolus. Le certificat examiné couvrait balesia.com et www.balesia.com du 2026-08-07 au 2026-11-05. Ces contrôles sont cohérents avec la remédiation déclarée, mais n’ont pas été considérés à eux seuls comme preuve de contenu sûr.
- Élément DNS balesia.com résolvait vers 82.25.81.25 et utilisait des serveurs de noms faisant autorité AWS.
- Élément DNS DNSSEC DS, CAA pour Let's Encrypt, SPF Microsoft 365 avec -all, DMARC p=quarantine et deux sélecteurs DKIM Microsoft étaient publiquement résolus.
- Élément de certificat Le certificat examiné couvrait balesia.com et www.balesia.com du 2026-08-07 au 2026-11-05.
Aucun fichier malware actuel précis, exécutable, archive, URL de payload, hash de payload, récepteur d’identifiants, formulaire de phishing, redirection tierce ou action nuisible observable n’a été identifié dans le périmètre actuel. L’usurpation de Trust Wallet de mars 2023 est une preuve historique concrète de réponse, matériellement différente des simples catégories actuelles de blacklist de domaine. L’hôte contesté est aussi le domaine parent enregistrable; l’alias www et le nom de certificat towers.balesia.com ont été considérés séparément.
- Observation de l’analyste Aucun fichier malware actuel exact, exécutable, archive, URL de payload, hash de payload, récepteur d’identifiants, formulaire de phishing, redirection tierce ou action nuisible reproductible n’a été identifié.
Périmètre et limites
- L’hôte exact contesté est aussi le domaine parent enregistrable; l’OSINT de l’hôte exact et du domaine parent concerne donc le même apex balesia.com. L’alias www et le nom de certificat towers.balesia.com ont été considérés séparément.
- L’examen a couvert le rapport Gridinsoft actuel, les redirections HTTP et www, cinq profils de requête, la surface racine publique, les ressources liées et JavaScript, les chemins historiques connus, DNS, TLS, l’historique des certificats, les index publics d’URL et de renseignement sur les menaces, la recherche d’index sandbox, la recherche web et les snapshots racine disponibles.
- Le sitemap.xml annoncé a renvoyé le même document HTML que la racine au lieu d’un inventaire d’URL; l’examen n’a donc pas énuméré exhaustivement tous les chemins historiques non liés possibles. Les chemins historiques et listés par le renseignement connus ont été examinés exactement, mais cela ne prouve pas qu’aucun autre chemin non indexé n’existe.
- Aucun formulaire n’a été envoyé, aucun compte utilisé, aucune information personnelle saisie et aucun payload historique téléchargé ou exécuté.
- L’examen n’a pas inspecté le code backend privé, les fichiers du serveur, les bases de données, les journaux, les comptes administrateur, les boîtes aux lettres, les endpoints non publiés ni la cause interne du compromis historique.
- La réponse sur le thème du wallet de mars 2023 a été capturée par urlscan, mais le relevé public récupéré ne fournissait ni hash de payload exécutable ni trace d’exécution sandbox. Aucune famille précise de malware ni interaction réelle de victime n’est donc affirmée.
- Les API URLhaus et ThreatFox exigeaient une autorisation, le flux actif Phishing.Database était temporairement indisponible, et les index publics de recherche, scanner d’URL, renseignement sur les menaces, sandbox, certificats et archives sont incomplets. Les sources indisponibles ont été traitées comme inconnues, et non propres.
- Safe décrit le déploiement public actuellement observé et les objets examinés. Il ne garantit pas le contenu futur, l’état privé du serveur, la sécurité des comptes ni l’absence de récidive d’un compromis supprimé.
Aidez à protéger les autres en partageant cette page sur les réseaux sociaux ! Plus il y a de personnes informées au sujet de balesia.com, moins elles risquent de tromper quelqu'un. Aidez les autres à évaluer balesia.com en partageant cette page sur les réseaux sociaux !