Ce que Gridinsoft a observé sur goldmountaingolf.com
Un analyste des menaces de Gridinsoft a examiné directement le site et documenté les éléments qui fondent cette décision.
GMA-20260903025100-d840ea64
- Analysé
- par Gridinsoft, Analyste des menaces
- Conclusion de l’analyste
- Hameçonnage
- Base factuelle
- Analyse directe du site Renseignements de fournisseurs externes : Contexte uniquement — non utilisé pour cette décision
Le contenu légitime du parcours de golf ne fait pas de cette demande un faux positif. Un chargeur visant le checkout, capable d’injecter du JavaScript tiers dans un formulaire actif de paiement par carte, est directement reproductible et a persisté dans les pages archivées et actuelles. La classification existante Phishing est maintenue. L’indisponibilité du point de terminaison de seconde étape limite les affirmations sur le payload actuellement livré, mais n’annule pas la compromission du code du site.
Conclusions de l’analyste
Analyse avec 5 observations documentées Voir les éléments
Le site examiné présentait le contenu attendu de Gold Mountain Golf Club. Son sitemap public exposait des routes normales de golf, restaurant, événement, boutique, panier et checkout ; aucune redirection automatique de premier niveau sans rapport ni téléchargement exécutable n’a été reproduit dans la navigation examinée.
-
Statut HTTP
200 -
URL finale
https://goldmountaingolf.com/ - Observation de l’analyste Le contenu visible de l’opérateur correspond à un site de parcours de golf et d’hospitalité, mais cette présentation légitime n’efface pas la compromission distincte du code du checkout.
Un élément de script identifié comme gli0 était présent dans le pied de page du site actif. Il vérifie si le chemin du navigateur contient checkout, envoie une requête POST à https://brisca.sbs/, décode la réponse comme URL source JavaScript et ajoute ce script externe à la page. Le même chargeur injecté a été reproduit sur des pages ordinaires, tandis que son comportement conditionnel vise le chemin checkout.
- Élément de page élément de script avec l’id gli0
- URL de l’artefact public https://brisca.sbs/
- Observation de l’analyste Le chargeur ajoute dynamiquement une source JavaScript tierce uniquement lorsque le chemin actuel contient checkout.
Après l’ajout d’un produit actuellement proposé à un panier temporaire, le checkout a renvoyé HTTP 200 et affiché des champs pour le numéro de carte, le mois et l’année d’expiration et le code de sécurité. Le chargeur externe visant le checkout était présent dans cette même réponse.
-
Statut HTTP
200 -
URL finale
https://goldmountaingolf.com/checkout/ - Élément de page champs du numéro de carte de crédit, de la date d’expiration et du code de sécurité
Le point de terminaison externe du chargeur a renvoyé DNS NXDOMAIN depuis deux emplacements réseau indépendants. Aucune URL de payload, aucun octet de payload, hash de fichier, envoi d’identifiants ou transmission de données de carte n’a donc pu être récupéré ou observé pendant cet examen.
- Élément DNS brisca.sbs a renvoyé NXDOMAIN pour les requêtes A, AAAA et NS
- Observation de l’analyste Aucun script actuel de seconde étape ni hash de payload n’était disponible pour analyse.
Les captures archivées de la page d’accueil de 2017, 2019, 2022, janvier 2025 et du 2 juillet 2025 ne contenaient pas le chargeur gli0. Une capture du 11 octobre 2025 contenait le même chargeur visant le checkout et le point de terminaison https://brisca.sbs/ tout comme des captures ultérieures examinées de novembre 2025 et de mai et juin 2026.
- URL de l’artefact public https://web.archive.org/web/20250702200013/https://goldmountaingolf.com/
- URL de l’artefact public https://web.archive.org/web/20251011153447/https://goldmountaingolf.com/
- Observation de l’analyste L’archive examinée établit une introduction entre le 2 juillet et le 11 octobre 2025 et une persistance sur le site actuel ; elle n’établit pas quand la seconde étape indisponible était active.
Périmètre et limites
- Le payload exact de seconde étape n’a pas pu être récupéré, car brisca.sbs a renvoyé NXDOMAIN pendant l’examen.
- Aucun paiement n’a été effectué et aucune donnée de carte réelle n’a été soumise ; le checkout a été examiné avec un panier temporaire sans passer de commande.
- La chronologie des archives établit quand le chargeur était absent et présent dans les captures examinées, et non l’historique complet d’activation du payload distant.
- Le résultat s’applique au domaine et au comportement public du checkout observé à l’heure enregistrée ; la correction exige la suppression du code injecté et un nouvel examen du flux exact.
Aidez à protéger les autres en partageant cette page sur les réseaux sociaux ! Plus il y a de personnes informées au sujet de goldmountaingolf.com, moins elles risquent de tromper quelqu'un. Aidez les autres à évaluer goldmountaingolf.com en partageant cette page sur les réseaux sociaux !