Ce que Gridinsoft a observé sur bpos.org
Un analyste des menaces de Gridinsoft a examiné directement le site et documenté les éléments qui fondent cette décision.
GMA-20261026115907-e0710121
- Analysé
- par Gridinsoft, Analyste des menaces
- Conclusion de l’analyste
- Chargeur ClickFix
- Base factuelle
- Analyse directe du site Renseignements de fournisseurs externes : Contexte uniquement — non utilisé pour cette décision
Le code actuellement lié contient une vérification trompeuse incitant à exécuter du contenu distant. Le constat concerne le code servi par le site de la société ; il n’établit ni fraude intentionnelle de celle-ci ni infection aboutie d’un visiteur.
Conclusions de l’analyste
Analyse avec 3 observations documentées Voir les éléments
Le domaine principal redirige vers le site de British Psychosocial Oncology Society. IPOS lie indépendamment cette adresse exacte dans son annuaire britannique. Les pages décrivent société, adhésion et connexion propre ; les formulaires de paiement font référence à Stripe. Aucun compte, paiement ou dossier privé n’a été testé. Une identité légitime ne prouve pas que tout le code servi soit inoffensif.
- URL de l’artefact public https://www.bpos.org/
- URL de l’artefact public https://www.ipos-society.org/federation/uk
Le HTML actuel charge health-probe.js depuis un plugin site-helper et fournit une adresse de contrat Base. Le script récupéré peut exécuter du JavaScript activé dans le contrat ; si aucun ne s’exécute, son repli demande la page de démonstration du contrat et est programmé pour l’afficher dans un iframe plein écran aux visiteurs Windows ou macOS, une fois par jour.
- URL de l’artefact public https://www.bpos.org/wp-content/plugins/site-helper-fa691dda0935/assets/health-probe.js
- URL de l’artefact public https://www.bpos.org/
Des lectures de Base au bloc 53111618 ont récupéré une démonstration HTML disponible. Les entrées de scripts nommées étaient désactivées, mais le repli local sélectionne toujours cette page. Son code imite une vérification humaine Google, copie un lanceur mshta de contenu distant dans le presse-papiers au clic d’une case et demande aux utilisateurs Windows de le coller dans Exécuter. C’est un parcours trompeur d’exécution de commande dans le code récupéré. JavaScript et commande n’ont pas été exécutés, ni la charge distante téléchargée.
- URL de l’artefact public https://basescan.org/address/0x58460d0b3d4d6b03761c89120393c0c676676496
- URL de l’artefact public https://basescan.org/block/53111618
Périmètre et limites
- Aucune charge distante téléchargée ou exécutée, infection ou vol d’identifiants reproduit, ni audit complet du serveur ou de WordPress. Les résultats de scanners et l’origine ou l’autorisation du plugin n’ont pas été authentifiés indépendamment.
Aidez à protéger les autres en partageant cette page sur les réseaux sociaux ! Plus il y a de personnes informées au sujet de bpos.org, moins elles risquent de tromper quelqu'un. Aidez les autres à évaluer bpos.org en partageant cette page sur les réseaux sociaux !