Ce que Gridinsoft a observé sur Retrak.co.ke
Un analyste des menaces de Gridinsoft a examiné directement le site et documenté les éléments qui fondent cette décision.
GMA-20260826203235-832972c2
- Analysé
- par Gridinsoft, Analyste des menaces
- Conclusion de l’analyste
- Sûr
- Base factuelle
- Analyse directe du site Renseignements de fournisseurs externes : Contexte contradictoire — non utilisé pour cette décision
L'examen indépendant actuel de première partie soutient la classification Sûr pour le déploiement public examiné de retrak.co.ke. Une URL concrète de commande et contrôle LokiBot a réellement existé sur un ancien déploiement en 2022, mais cet objet exact et les chemins historiques associés renvoient maintenant HTTP 404, le site et l'hébergement ont changé en août 2026, et les contrôles récents de la racine, de pages représentatives, des formulaires, redirections, profils de requête et scripts n'ont reproduit aucun comportement nuisible. L'avertissement général contradictoire a été corrigé ; les entrées externes résiduelles de listes noires et de renseignement sur les menaces restent un contexte historique géré séparément et n'ont pas déterminé ce verdict.
Conclusions de l’analyste
Analyse avec 6 observations documentées Voir les éléments
De nouveaux contrôles Gridinsoft pris en charge ont atteint la racine HTTPS actuelle avec HTTP 200 et identifié la page RETRAK Home. L'examen direct n'a trouvé aucun signal comportemental positif actuel ni URL malveillante exacte, redirection, fichier, payload, exploit ou hash. Après correction de l'avertissement général non étayé, le rapport actuel faisant autorité a indiqué Sûr.
-
Statut HTTP
200 -
URL finale
https://retrak.co.ke/ - Élément de page Titre : RETRAK Home
- Observation de l’analyste L'examen actuel pris en charge n'a reproduit aucun objet malveillant exact ni comportement nuisible sur le déploiement examiné.
La racine et douze pages publiques représentatives ont renvoyé HTTP 200 avec un contenu cohérent de la Retail Trade Association of Kenya couvrant son mandat, son comité, son sommet, ses activités de plaidoyer, ses adhésions, actualités, publications, téléchargements et FAQ. Deux destinations de menu obsolètes ont renvoyé HTTP 404. Aucune redirection sans rapport, actualisation meta, livraison automatique d'exécutable, demande de phrase de récupération ou objet de phishing actuel n'a été reproduit.
- Observation de l’analyste La racine et 12 pages publiques représentatives ont renvoyé HTTP 200 ; deux destinations de menu obsolètes ont renvoyé HTTP 404.
- Observation de l’analyste Les pages examinées présentaient de manière cohérente du contenu sur l'organisation RETRAK, les adhésions, le plaidoyer, les publications et les actualités.
- Observation de l’analyste Aucune redirection sans rapport, actualisation meta, livraison automatique d'exécutable, demande de phrase de récupération ou objet de phishing actuel n'a été identifié sur la surface publique examinée.
Les requêtes desktop, robot, ligne de commande, apex et www ont produit un contenu racine visible normalisé identique. Les formulaires publics Joomla de connexion, inscription et administration étaient envoyés au même site et utilisaient des champs ordinaires de nom d'utilisateur, mot de passe, nom et e-mail. Quatre ressources JavaScript et les références de page ont montré un comportement standard same-origin de Joomla et du constructeur de pages ; aucun récepteur d'identifiants caché, flux de lancement de commande ou code de livraison de malware n'a été reproduit.
- SHA-256 du fichier a6327cc355775da36396bfe7609d908989b9b23c5d7c5642e10d29279bacd00d
- Observation de l’analyste Le contenu racine visible normalisé était identique pour les profils de requête desktop, robot, ligne de commande, apex et www.
- Observation de l’analyste Les formulaires publics de compte étaient des formulaires Joomla same-origin ; aucune destination d'identifiants sans rapport ni trame cachée n'a été trouvée.
- Observation de l’analyste L'examen ciblé de quatre ressources JavaScript actuelles a reproduit un comportement standard same-origin du site et aucune logique de lancement de commande, livraison d'exécutable ou phrase de récupération.
Les statistiques de malware d'AhnLab ASEC d'octobre 2022 identifient l'URL exacte retrak.co.ke/psy/five/fre.php comme infrastructure de commande et contrôle LokiBot. Il s'agit d'une URL malveillante historique concrète, et pas seulement d'une étiquette de liste noire du domaine. L'URL exacte actuelle, deux chemins historiques associés et leurs variantes préfixées par langue renvoient maintenant HTTP 404. Aucun fichier de malware, payload, téléchargement automatique ou hash de payload actuel n'a été trouvé.
- URL de l’artefact public https://asec.ahnlab.com/en/41139/
- URL de l’artefact public https://urlscan.io/domain/retrak.co.ke
-
Statut HTTP
404 - Observation de l’analyste L'enregistrement historique nomme une URL exacte de commande et contrôle LokiBot ; le serveur actuel ne sert plus cette URL ni les chemins associés examinés.
- Observation de l’analyste Aucun fichier de malware, payload, téléchargement automatique ou hash de payload actuel n'a été identifié.
Les enregistrements publics d'analyse d'URL montrent l'ancien déploiement 102.130.122.114 présentant une page Bot Verification jusqu'au 2026-08-02, un autre hôte 50.6.42.29 présentant une page Coming Soon le 2026-08-16, et l'hôte actuel 162.0.209.21 présentant RETRAK Home le 2026-08-24. Une capture Wayback du 2026-08-15 a également conservé le déploiement Coming Soon. Le DNS actuel et le certificat nouvellement émis correspondent à la transition vers l'hôte actuel.
- URL de l’artefact public https://urlscan.io/domain/retrak.co.ke
- URL de l’artefact public https://web.archive.org/web/20260815132956id_/https://retrak.co.ke/
- Élément DNS retrak.co.ke se résout actuellement vers 162.0.209.21 et www.retrak.co.ke est un alias de l'apex.
- Élément de certificat Le certificat examiné couvre retrak.co.ke et www.retrak.co.ke et est valide du 2026-08-22 au 2027-03-08.
- Observation de l’analyste La chronologie publique soutient indépendamment une transition récente d'hébergement et de site après l'objet malveillant historique.
L'OSINT public sépare les preuves au niveau de l'objet de la réputation résiduelle. URLscan a indexé 137 résultats du domaine et conservé les chemins historiques exacts, tandis que son enregistrement le plus récent montrait le déploiement RETRAK Home actuel. OTX a renvoyé des pulses au niveau du domaine principalement liés à des collections historiques LokiBot et IOC en masse, mais zéro pulse pour l'hôte www exact ; son résultat actuel pour l'URL racine a renvoyé HTTP 200 sans correspondance Safe Browsing. Les requêtes publiques de sandbox indexées par les moteurs de recherche n'ont pas exposé d'échantillon actuel, et aucune exhaustivité n'est revendiquée.
- URL de l’artefact public https://otx.alienvault.com/indicator/domain/retrak.co.ke
- URL de l’artefact public https://otx.alienvault.com/indicator/hostname/www.retrak.co.ke
- URL de l’artefact public https://urlscan.io/domain/retrak.co.ke
- Observation de l’analyste L'URL historique concrète LokiBot et les entrées résiduelles de listes noires au niveau du domaine sont des types de preuve différents et ont été évalués séparément.
- Observation de l’analyste Aucun échantillon de sandbox actuel indexé par les moteurs de recherche n'a été identifié ; les systèmes restreints ou non indexés n'ont pas été traités comme preuve négative.
Périmètre et limites
- Le verdict s'applique au déploiement de retrak.co.ke publiquement accessible examiné au moment enregistré et ne garantit pas le contenu futur.
- L'examen n'a pas accédé au système de fichiers privé de l'hébergement, à la base de données, aux comptes administrateur, aux tâches planifiées, au serveur de messagerie, à la console du produit de sécurité ou aux journaux du serveur.
- Aucun formulaire public de connexion ou d'inscription n'a été soumis, aucun compte ou identifiant n'a été utilisé et aucun objet n'a été exécuté.
- Le ticket faisait référence à une pièce jointe, mais aucune pièce jointe n'était présente dans l'enregistrement Portal disponible pour cet examen.
- Les preuves publiques confirment une URL historique exacte LokiBot mais ne reconstruisent pas chaque réponse historique ni ne déterminent l'intervalle complet de compromission ; les sandboxes restreintes ou non indexées n'ont pas été traitées comme preuve négative.
Aidez à protéger les autres en partageant cette page sur les réseaux sociaux ! Plus il y a de personnes informées au sujet de retrak.co.ke, moins elles risquent de tromper quelqu'un. Aidez les autres à évaluer retrak.co.ke en partageant cette page sur les réseaux sociaux !