Ce que Gridinsoft a observé sur Chosei-kai.com
Un analyste des menaces de Gridinsoft a examiné directement le site et documenté les éléments qui fondent cette décision.
GMA-20260903174836-87eabac2
- Analysé
- par Gridinsoft, Analyste des menaces
- Conclusion de l’analyste
- Sûr
- Base factuelle
- Analyse directe du site Renseignements de fournisseurs externes : Contexte contradictoire — non utilisé pour cette décision
L'examen indépendant actuel a confirmé que chosei-kai.com avait hébergé début mai 2026 une véritable page de phishing imitant Shaw sur deux chemins cachés précis. Ces chemins ont été bloqués en quelques jours et renvoient maintenant HTTP 404 avec plusieurs profils de requête. L'apex, l'alias www, l'échantillon de 79 pages publiques, les formulaires de demande de même origine, les redirections, DNS et TLS correspondaient à l'organisation médicale japonaise annoncée. Aucune page phishing actuelle, aucun récepteur externe d'identifiants, téléchargement nuisible, payload malware ou exploit n'a été reproduit. Les avertissements externes actuels constituent donc un contexte de réputation général et contradictoire, et non une justification pour conserver une classification Phishing actuelle sur tout le domaine.
Conclusions de l’analyste
Analyse avec 9 observations documentées Voir les éléments
HTTP sur le domaine parent enregistrable a redirigé une fois vers l'apex HTTPS, et HTTPS www une fois vers le même apex. La page finale a répondu HTTP 200 comme site de l'organisation médicale japonaise Chosei-kai. Les profils desktop, mobile, Googlebot, Gridinsoft et référent Google ont produit un contenu visible normalisé identique ; la racine examinée n'a lancé ni redirection étrangère ni téléchargement automatique.
-
Statut HTTP
200 -
URL finale
https://chosei-kai.com/ -
Destination de redirection
https://chosei-kai.com/ - Type MIME text/html; charset=UTF-8
- SHA-256 du fichier 151897c29aed79b96bef5b9a0a4e9e1541433b1135635dabe6410f6ba2852140
- Élément de page The page title was 長生会 and the visible content described the Chosei-kai medical corporation and its hospitals.
- Observation de l’analyste All five profiles had normalized visible-text SHA-256 51064254d30bcd24c10a1e96cbde25b29d3adc92e13c6e958a2f754129998c57.
Un examen limité à deux niveaux a demandé 79 pages du même site découvertes depuis la navigation active. 78 ont répondu HTTP 200 et un ancien chemin d'image HTTP 404. Aucune page n'a abouti sur un hôte étranger, lié un téléchargement exécutable ou d'archive, intégré un formulaire externe d'identifiants ou exposé un envoi de fichier. La navigation externe se limitait aux hôtes Google et Google Maps.
- Observation de l’analyste 79 same-site pages were requested: 78 returned HTTP 200 and one obsolete GIF path returned HTTP 404.
- Observation de l’analyste No executable, installer, script payload, or archive download link was identified in the reviewed navigation.
- Observation de l’analyste The only external hosts found in page navigation or resources were google.com, google.co.jp, maps.google.co.jp, and goo.gl.
Les deux formulaires publics étaient des formulaires Contact Form 7 de même origine pour demandes générales et recrutement. Ils demandaient des champs ordinaires de contact, adresse, recrutement et message, puis publiaient vers leurs chemins respectifs sur chosei-kai.com. Ils ne demandaient ni mot de passe, carte de paiement, code à usage unique ni secret de portefeuille. Aucun formulaire n'a été envoyé.
- URL de l’artefact public https://chosei-kai.com/inquiry
- URL de l’artefact public https://chosei-kai.com/inquiry_recruit
- Élément de page The general enquiry form requests name, phonetic name, telephone, address, email confirmation, and a message.
- Élément de page The recruitment form adds recruitment categories and otherwise uses ordinary contact and message fields.
- Observation de l’analyste Both form actions remained on chosei-kai.com; no password or external credential receiver was present.
Des données publiques urlscan du 6 au 8 mai 2026 conservent un incident réel au niveau de l'objet sur deux chemins précis. Les pages répondaient HTTP 200 avec le titre Sign in - Shaw et affichaient une interface Shaw Webmail demandant une adresse Shaw et un mot de passe sous un message d'authentification à deux facteurs. Le scan enregistré indiquait un phishing contre Shaw. Cette trace démontre une page historique de phishing, pas seulement une catégorie de blacklist du domaine ; aucun identifiant n'a été saisi et aucun fichier malware ou payload exécutable n'a été enregistré.
-
Statut HTTP
200 - Élément de page Shaw Webmail branding, Confirm your 2 Factor Authentication, Shaw email, Password, and Sign in.
- SHA-256 du fichier a8759ded511e4bf2b202f0727c798a4bac14268ab3fea0d1d21f88cb2ac7aee1
- SHA-256 de la capture fff6111d8d372917d079d7ac0449abbf398370e6921607b1fac7ae56ce4f48f0
- URL de l’artefact public https://urlscan.io/result/019e0538-c6dd-7368-906b-b43a62bf2b18/
- URL de l’artefact public https://urlscan.io/result/019dfd5a-d461-771d-adf4-9b2acc34446e/
- Observation de l’analyste The urlscan page identified the saved response as phishing against Shaw and recorded response SHA-256 a8759ded511e4bf2b202f0727c798a4bac14268ab3fea0d1d21f88cb2ac7aee1.
Les deux chemins Shaw précis renvoient maintenant la page HTTP 404 normale du site pour les profils desktop, Googlebot et Gridinsoft. Les répertoires signalés ensuite /00d1/ et /0000/ renvoient aussi HTTP 404, tandis que la liste directe de /wp-content/uploads/ renvoie HTTP 403. Le contenu phishing historique et une interface d'identifiants n'ont été reproduits sur aucun de ces chemins.
-
Statut HTTP
404 -
URL finale
https://chosei-kai.com/Arress/shaw/index.html -
URL finale
https://chosei-kai.com/Arres/shaw/index.html -
URL finale
https://chosei-kai.com/00d1/ -
URL finale
https://chosei-kai.com/0000/ - Observation de l’analyste Each historical or later reported path returned the same unavailable result for desktop, crawler, and Gridinsoft request profiles.
- Observation de l’analyste The upload-directory root returned HTTP 403 rather than exposing a browsable file index.
L'apex et www se résolvaient vers 183.90.240.43 sur l'infrastructure Xserver. Le certificat actuel couvrait les deux noms et était valable du 22 août au 20 novembre 2026. Le RDAP Verisign enregistrait le domaine comme actif et inscrit depuis le 24 décembre 2012, avec les cinq mêmes serveurs de noms Xserver observés dans DNS.
- Élément DNS chosei-kai.com and www.chosei-kai.com resolved to 183.90.240.43; authoritative nameservers were ns1.xserver.jp through ns5.xserver.jp.
- Élément de certificat The current TLS certificate covered chosei-kai.com and www.chosei-kai.com and was valid from 2026-08-22 through 2026-11-20.
- URL de l’artefact public https://rdap.verisign.com/com/v1/domain/chosei-kai.com
- Observation de l’analyste The exact host and registrable parent are the same apex; www was reviewed as a separate alias.
urlscan a renvoyé 25 données : les pages Shaw précises étaient actives début mai, bloquées du 8 au 11 mai, puis renvoyaient des pages 404 ordinaires en juin et juillet ; des scans ultérieurs de /00d1/ et /0000/ étaient bloqués ou indisponibles. OTX contenait un pulse massif de liste phishing du 9 mai avec un indicateur limité au domaine et 68 observations d'URL, dont le chemin Shaw déjà supprimé le 13 mai. Wayback indexait des contenus réussis de racine et de site médical de 2013 à 2026, mais la récupération archivée des chemins précis était indisponible pendant cet examen.
- URL de l’artefact public https://urlscan.io/domain/chosei-kai.com
- URL de l’artefact public https://otx.alienvault.com/indicator/domain/chosei-kai.com
- URL de l’artefact public https://web.archive.org/web/*/chosei-kai.com/
- Observation de l’analyste The exact urlscan records establish the former phishing page and its subsequent removal; the OTX pulse is only a domain indicator without an exact sample or behavior record.
- Observation de l’analyste Wayback CDX exposed successful root and medical-site records beginning in 2013 and continuing through 2026; archive coverage is incomplete.
L'agrégation externe actuelle conservait hors Gridinsoft sept labels malveillants et un suspect de blacklist du domaine, ainsi que des résultats défavorables distincts d'Avira et Norton. Ils ne nommaient aucune URL actuelle, récepteur d'identifiants, fichier, payload, hash ou trace d'exécution. La recherche publique Triage n'a renvoyé aucun rapport ; les détails de Hybrid Analysis, ANY.RUN, Joe Sandbox, URLQuery, URLhaus API et ThreatFox API étaient indisponibles ou limités par authentification et traités comme inconnus. Les feeds publics récents OpenPhish, URLhaus et ThreatFox n'avaient aucune correspondance exacte.
- Observation de l’analyste The current aggregate matrix retained alphaMountain.ai, Chong Lua Dao, CyRadar, Fortinet, Lionic, SOCRadar, VIPRE, and Forcepoint ThreatSeeker domain-level results; direct Avira and Norton results were also adverse.
- Observation de l’analyste Bitdefender categorized the site as health and did not return a malicious result.
- Observation de l’analyste No accessible external record beyond the historical Shaw pages supplied a current exact harmful object or behavioral sandbox trace.
- Observation de l’analyste Unavailable or authentication-restricted sources were treated as unknown rather than clean.
L'examen actuel n'a reproduit ni l'imitation Shaw historique, ni récepteur externe d'identifiants, redirection étrangère, livraison automatique d'exécutable ou d'archive, fichier malware, payload, hash, exploit ou trace d'exécution nuisible. Le rapport Gridinsoft actuel ne contenait pas non plus de signal comportemental positif propre justifiant la catégorie Phishing active. La page phishing historique sur chemins précis reste un incident passé confirmé, tandis que les catégories actuelles de blacklist du domaine sont un contexte de réputation plus large.
- Observation de l’analyste No current phishing page, credential receiver, malware file, payload, hash, exploit, or harmful execution trace was reproduced.
- Observation de l’analyste The fresh Gridinsoft report contained no positive first-party behavior signal supporting the active Phishing classification.
- Observation de l’analyste A concrete historical object and a current domain-wide blacklist category are distinct evidence classes; only the former was directly demonstrated, and it is no longer served.
Périmètre et limites
- Le verdict s'applique à l'apex public actuel, l'alias www, l'échantillon de pages examiné, les formulaires publics et les chemins historiques identifiés. Les contenus authentifiés, fichiers privés, code serveur, bases de données, logs, boîtes mail, état administrateur et changements futurs n'ont pas été évalués.
- Aucun formulaire de contact ou recrutement n'a été envoyé et aucun identifiant, donnée personnelle, donnée de paiement ou code à usage unique n'a été saisi. L'interface phishing historique a été examinée via des métadonnées et images préservées par des scanners publics, sans interaction.
- La réponse historique et la capture conservées établissent une interface Shaw d'e-mail et mot de passe, mais ne prouvent ni identifiant soumis, perte de victime, fichier malware, exécution de payload, identité d'opérateur ni attribution criminelle ; aucune de ces affirmations plus fortes n'est formulée.
- Le endpoint sitemap WordPress actuel a répondu HTTP 404 ; l'examen public a donc utilisé un parcours limité à deux niveaux depuis la navigation active. Il a demandé 79 pages du même site : 78 ont répondu HTTP 200 et un chemin d'image obsolète HTTP 404.
- Les index publics de recherche, scanners d'URL, sandbox, threat intelligence, feeds et archives sont incomplets. Les sources indisponibles ou limitées par authentification ont été traitées comme inconnues, non comme propres.
- Un verdict actuel Sûr n'efface pas l'incident phishing historique confirmé et ne certifie pas le contenu futur ; il indique que la classification Phishing générale active n'était pas soutenue par des preuves propres actuelles reproductibles dans le périmètre examiné.
Aidez à protéger les autres en partageant cette page sur les réseaux sociaux ! Plus il y a de personnes informées au sujet de chosei-kai.com, moins elles risquent de tromper quelqu'un. Aidez les autres à évaluer chosei-kai.com en partageant cette page sur les réseaux sociaux !