Ce que Gridinsoft a observé sur Dra.com.ve
Un analyste des menaces de Gridinsoft a examiné directement le site et documenté les éléments qui fondent cette décision.
GMA-20260824005900-81d1bb14
- Analysé
- par Gridinsoft, Analyste des menaces
- Conclusion de l’analyste
- Sûr
- Base factuelle
- Analyse directe du site Renseignements de fournisseurs externes : Contexte contradictoire — non utilisé pour cette décision
L’examen indépendant actuel soutient Sûr pour dra.com.ve et son hôte www canonique. L’incident historique était réel : l’URL exacte ds5.txt a servi un bot IRC Perl fonctionnel au moins du 2026-07-29 jusqu’aux captures publiques du 2026-08-15. Elle n’est plus servie. Les contrôles actuels avec quatre profils de requête ont renvoyé la page HTTP 404 normale sur ce chemin, et un crawl complet des 128 URL actuelles des sitemaps n’a trouvé aucune livraison de malware, redirection sans rapport, page injectée, vol d’identifiants, téléchargement automatique ni autre objet nuisible exact. Un nouveau scan Gridinsoft a atteint le site actif, mais n’a conservé que la signature large du domaine datée du 2026-07-30 avec positive_signals=[] et sans fondement actuel au niveau de l’objet. Les labels externes actuels de listes noires sont un contexte contradictoire, pas une preuve que l’échantillon supprimé reste actif. La catégorie large de Gridinsoft contredisait donc l’état actuel reproductible et devait être supprimée. Les lacunes de durcissement méritent une correction sans établir une activité malveillante. Sûr ne décrit que le déploiement public actuel examiné.
Conclusions de l’analyste
Analyse avec 7 observations documentées Voir les éléments
L’objet exact précédemment signalé a renvoyé HTTP 404 avec le HTML normal Page not found de D’Empaire pour les profils desktop, mobile, robot Google et examen Gridinsoft. Les quatre réponses avaient la même URL finale et le même contenu ; aucune n’a renvoyé l’ancien fichier texte, un téléchargement ou une redirection sans rapport.
-
Statut HTTP
404 -
URL finale
https://www.dra.com.ve/wp-content/languages/plugins/ds5.txt - Type MIME text/html; charset=UTF-8
- Élément de page Les quatre profils ont renvoyé le titre Page not found : D’Empaire et le texte visible Error 404, page not found.
Un crawl borné a examiné les 128 URL uniques des sitemaps actuels des pages, avocats et domaines de pratique. Toutes les URL finales sont restées sur www.dra.com.ve ; 127 ont renvoyé HTTP 200 et l’ancienne route splash la même page HTTP 404 normale. Aucune page examinée ne faisait référence à ds5.txt, à un téléchargement exécutable ou d’archive, à une destination sans rapport, à un iframe injecté ou à un flux de collecte d’identifiants.
- Observation de l’analyste L’ensemble actuel des sitemaps contenait 128 URL uniques de même origine ; 127 ont renvoyé HTTP 200 et une route splash obsolète HTTP 404.
- Observation de l’analyste Chaque URL finale examinée utilisait www.dra.com.ve, et aucune page examinée ne faisait référence à un téléchargement exécutable, installateur, archive, paquet de scripts, paquet mobile ou ds5.txt.
- Élément de page Le seul iframe trouvé était le fallback Google reCAPTCHA attendu sur les deux pages de contact de même origine ; leurs formulaires soumettaient vers des ancres de contact de même origine.
- Observation de l’analyste Les hôtes de contenu externes examinés étaient limités à cdn.jsdelivr.net, Font Awesome, Google, Google Tag Manager, LinkedIn, gmpg.org et le site lui-même.
Le point d’entrée apex a redirigé une fois vers la page canonique https://www.dra.com.ve/ qui a renvoyé HTTP 200. Les résolveurs Cloudflare, Google et Quad9 ont renvoyé la même adresse pour l’apex et www. Le certificat actif couvrait les deux noms et était valide jusqu’au 2026-11-12.
-
Statut HTTP
200 -
Destination de redirection
https://www.dra.com.ve/ - Élément DNS Cloudflare, Google et Quad9 ont chacun résolu dra.com.ve et www.dra.com.ve vers 216.70.101.123 pendant l’examen.
- Élément de certificat Le certificat Let’s Encrypt couvrait dra.com.ve et www.dra.com.ve et était valide du 2026-08-14 au 2026-11-12.
Un nouveau scan Gridinsoft pris en charge a atteint le site actuel avec HTTP 200, mais a conservé la signature large Suspicious Website datée du 2026-07-30. Le rapport actuel affichait une liste vide de signaux positifs et ne nommait aucune URL malveillante actuelle exacte, fichier, payload, destination de redirection, exploit, commande ou hash soutenant cette catégorie pour tout le domaine.
-
Statut HTTP
200 - Observation de l’analyste Le nouveau rapport a renvoyé positive_signals=[] pour le déploiement actuel.
- Observation de l’analyste La signature de domaine conservée était datée du 2026-07-30 et ne contenait aucun objet malveillant actuel exact ni trace de comportement.
Les preuves publiques historiques ont confirmé que le chemin signalé était un véritable objet malveillant et non une fausse alerte. Les enregistrements publics urlscan ont renvoyé HTTP 200 et text/plain pour cette URL exacte du 2026-07-29 au 2026-08-06. Une capture Wayback du 2026-08-15 a conservé un ShellBOT Perl qui se connectait à un canal de commande IRC et implémentait un shell distant, le téléchargement, le scan de ports, la connexion inverse, le courrier et des fonctions d’inondation UDP. Les enregistrements ultérieurs des 2026-08-18 et 2026-08-21 ont renvoyé HTTP 404.
- URL de l’artefact public https://urlscan.io/result/019fae2b-4fcd-753c-9b67-8f8f33e81294/
- URL de l’artefact public https://urlscan.io/result/019fd58e-bcbe-750f-bb3a-c5ea6a891a5f/
- URL de l’artefact public https://urlscan.io/result/01a0157c-ea57-7499-be36-bf6116ad1c00/
- Observation de l’analyste La réponse archivée du 2026-08-15 contenait 32,438 octets de code source Perl text/plain, s’identifiait comme ShellBOT et exposait des fonctions d’administration distante et d’attaque contrôlées par IRC.
- Observation de l’analyste L’enregistrement historique de l’objet exact et l’état HTTP 404 actuel établissent une compromission limitée dans le temps et sa suppression ; ils n’établissent pas un comportement malveillant actuel à l’échelle du domaine.
OTX a listé deux pulses dérivés d’URLHaus pour le nom d’hôte www exact et identifié l’URL ds5.txt, tandis que l’entrée du domaine enregistrable n’avait aucun pulse. Les index publics de malware ont identifié le fichier conservé comme malware de botnet. Séparément, l’instantané externe actuel du domaine contenait encore des labels malveillants ou suspects de listes noires, mais ne nommait aucun chemin nuisible actuellement accessible ni trace de comportement actuelle. Les index web publics associaient systématiquement le domaine racine au cabinet D’Empaire établi de longue date.
- URL de l’artefact public https://otx.alienvault.com/indicator/hostname/www.dra.com.ve
- URL de l’artefact public https://otx.alienvault.com/indicator/domain/dra.com.ve
- Observation de l’analyste L’identifiant d’URL VirusTotal fourni correspond à http://www.dra.com.ve/, et non à l’objet historique ds5.txt.
- Observation de l’analyste Les résultats externes actuels du domaine sont restés des classifications de listes noires et n’ont pas reproduit l’objet exact supprimé ; les résultats externes n’étaient qu’un contexte.
- Observation de l’analyste Des annuaires juridiques publics indépendants et des profils professionnels ont identifié de manière cohérente www.dra.com.ve comme le site de D’Empaire, cabinet vénézuélien fondé en 1972.
La réponse racine actuelle n’incluait ni HSTS, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy ni Permissions-Policy, et plesk.dra.com.ve exposait l’accès au panneau de contrôle d’hébergement. Ce sont des préoccupations actuelles de surface d’attaque et de durcissement après une compromission récente, mais aucun exploit, accès non autorisé, contenu injecté ou réponse malveillante n’a été reproduit.
- Élément de page La réponse racine examinée exposait les en-têtes du serveur et de la plateforme, mais aucun des en-têtes de politique de sécurité du navigateur répertoriés.
-
URL finale
https://plesk.dra.com.ve:443/login.php - Observation de l’analyste Le point d’entrée du panneau a présenté l’accès Plesk attendu et n’a pas été authentifié, testé par intrusion ni traité comme preuve de compromission.
Périmètre et limites
- Le verdict s’applique à dra.com.ve, www.dra.com.ve et au chemin exact ds5.txt accessibles publiquement au moment enregistré ; il n’efface ni ne contredit la compromission historique confirmée.
- L’examen n’a pas accédé au système de fichiers privé du serveur, à la base de données, au compte Plesk, à l’administrateur WordPress, au dépôt source, au pipeline de déploiement, aux sauvegardes, à la télémétrie des terminaux ni aux journaux du serveur ; les mesures internes de remédiation du demandeur n’ont donc pas été auditées indépendamment.
- Le fichier Perl archivé a été examiné statiquement et n’a pas été exécuté ni autorisé à contacter son infrastructure configurée.
- Aucun formulaire de contact n’a été soumis et aucune fonction administrative ou authentifiée n’a été exercée.
- Les index publics de recherche, analyse d’URL, sandbox, threat intelligence, certificats et archives sont incomplets. Les résultats d’API nécessitant une authentification qui n’ont pas pu être obtenus ont été considérés comme non vérifiés, pas comme propres.
- L’accès public Plesk n’a pas été testé par intrusion. Sa présence et l’absence d’en-têtes de politique de sécurité du navigateur sont des préoccupations de durcissement, pas une preuve de compromission actuelle.
- Sûr décrit le comportement de sécurité actuel observé et ne garantit ni le contenu futur, ni l’intégrité de l’infrastructure, ni l’immunité contre une nouvelle compromission.
Aidez à protéger les autres en partageant cette page sur les réseaux sociaux ! Plus il y a de personnes informées au sujet de dra.com.ve, moins elles risquent de tromper quelqu'un. Aidez les autres à évaluer dra.com.ve en partageant cette page sur les réseaux sociaux !