Flow.page analyse Site Web suspect

Le rapport Gridinsoft actualisé indique Suspicious Website plutôt que Phishing ou Malware. Cette catégorie plus étroite reflète le risque actuel au niveau des URL dans un espace de pages contrôlé par les utilisateurs ; elle n'affirme pas que l'apex de l'opérateur ou chaque page client est malveillant.

• URL de l’artefact public https://gridinsoft.com/online-virus-scanner/url/flow-page
• Élément de page Suspicious Website
• Observation de l’analyste La classification actuelle est plus étroite qu'une affirmation de phishing ou de malware visant tout le domaine.

L'apex a effectué deux redirections HTTP et renvoyé la page produit Flowcode avec HTTP 200. Le flux racine examiné n'a présenté ni formulaire d'identifiants, ni téléchargement automatique, ni fichier malveillant, ni destination étrangère changeante.

• Statut HTTP 200
• URL finale https://www.flowcode.com/product/flowhubs
• Élément de page Mobile Landing Page Builder | Campaign Hubs | Flowcode

Le chemin exact créé par un utilisateur a répondu HTTP 200 et restait actif et non vérifié. Il présentait un leurre de trois documents non lus et un lien PREVIEW DOCUMENT HERE vers un nom d'hôte généré sans rapport. Cette destination ne s'est pas résolue lors de deux requêtes actuelles ; aucun collecteur d'identifiants actuel, fichier téléchargé, payload ou hash n'a donc été observé au-delà de la page leurre active.

• Statut HTTP 200
• URL finale https://flow.page/auxx
• Élément de page You!Ve received (3) Unread Documents!
• Élément de page PREVIEW DOCUMENT HERE
• Destination de redirection https://2aluxbmc2q.scracrahup.tech/
• Élément DNS 2aluxbmc2q.scracrahup.tech ne s'est pas résolu lors de deux vérifications actuelles.

Un second chemin exact créé par un utilisateur a répondu HTTP 200 et restait actif et non vérifié. Il affichait CLICK HERE TO UPDATE et pointait vers un objet nommé Yahoo sur un stockage tiers. La destination répondait actuellement HTTP 400 ; l'examen n'y a donc reproduit ni formulaire actif d'identifiants, ni téléchargement, ni payload.

• Statut HTTP 200
• URL finale https://flow.page/yahoo898
• Élément de page CLICK HERE TO UPDATE
• Destination de redirection https://yahoo768.s3.us-east-005.backblazeb2.com/yahoo.html
• Observation de l’analyste La destination tierce a répondu HTTP 400 pendant l'examen actuel.

Cinq autres chemins indexés de l'échantillon limité ont redirigé vers la page de modération Flowcode Firewall : thjg89, skkydoubkle, btinternet20230, currentlysignin et micrroosoftt. Trois chemins échantillonnés restaient actifs : auxx, yahoo898 et sinisterstealer. Cela confirme une modération active tout en montrant que les objets risqués actuels créés par les utilisateurs ne sont pas tous désactivés.

• URL finale https://www.flowcode.com/terms/404-content-mod
• Élément de page Flowcode Firewall
• Observation de l’analyste Cinq des huit chemins indexés de l'échantillon ont atteint la page de modération ; trois restaient actifs.

Les sources OSINT publiques ont distingué les objets exacts des étiquettes générales de domaine. ANY.RUN a enregistré le 2024-01-11 une activité de phishing malveillante pour l'URL exacte auxx ; la même page leurre est toujours active, mais sa destination externe ne se résout plus. urlscan a exposé deux captures de 2024 de cette URL exacte et plus de 5 000 résultats dans la zone flow.page. OTX a exposé 569 lignes d'historique d'URL de la zone. Wayback a indexé de nombreuses pages clientes, mais aucun instantané de auxx ou yahoo898 dans la requête limitée.

• URL de l’artefact public https://any.run/report/5a969a4d9e1daa9802201bed164d74b23d258d02df7468461673169a1cdef6db/245b459c-4c00-4eb2-af97-e6d12e158c76
• URL de l’artefact public https://urlscan.io/result/cab08e5b-9713-4037-a24b-3b6061cef81e/
• URL de l’artefact public https://otx.alienvault.com/indicator/domain/flow.page
• URL de l’artefact public https://web.archive.org/web/20200813201244id_/https://www.flow.page/
• Observation de l’analyste Le comportement historique d'une URL exacte et une catégorie actuelle de liste noire de domaine sont deux types de preuves distincts et n'ont pas été traités comme interchangeables.

Un mainteneur de Phishing Database a déclaré que phish.co.za était indisponible depuis des semaines et que les abonnés, dont VirusTotal, n'étaient pas synchronisés. Le fournisseur avait déjà confirmé que ses listes actuelles ne contenaient aucune entrée de domaine, sous-domaine ou URL pour flow.page. Les vérifications directes actuelles n'ont trouvé aucune occurrence de flow.page dans six fichiers de listes GitHub, tandis que les points de terminaison officiels des listes publiques renvoyaient HTTP 503.

• URL de l’artefact public https://github.com/Phishing-Database/Phishing.Database/issues/2282
• URL de l’artefact public https://github.com/Phishing-Database/Phishing.Database/issues/2254
• Observation de l’analyste Les données sources publiques actuelles et l'étiquette de domaine Phishing Database sur VirusTotal étaient désynchronisées au moment de l'examen.

flow.page comprend une surface opérateur légitime et un vaste espace de chemins et sous-domaines contrôlé par les utilisateurs. L'ensemble complet des objets clients actuels, privés, expirés et futurs n'est pas publiquement énumérable. Un apex propre ne peut établir un verdict Safe pour tout le domaine, tandis qu'un chemin client nuisible ne prouve pas que l'opérateur ou chaque page client est malveillant.

• Observation de l’analyste Les futurs constats d'abus doivent identifier et examiner l'URL ou le sous-domaine exact et sa destination.
• Observation de l’analyste La suppression d'une large étiquette de phishing non étayée ne certifie pas tout le contenu délégué.