Worktop.dev Analyse de réputation

Le sitemap exposait 26 pages publiques. Chaque page a renvoyé HTTP 200 à son URL worktop.dev attendue. Les pages examinées décrivaient un utilitaire de gestion des bureaux Windows ainsi que ses parcours de documentation, guides, assistance, confidentialité, conditions, téléchargement et désinstallation. Aucun formulaire, champ de mot de passe, champ de téléversement de fichier, iframe, redirection finale étrangère ou téléchargement automatique n'était présent. Quatre contrôles avec des agents utilisateurs de bureau et mobiles ont renvoyé un contenu identique pour la page d'accueil.

• Statut HTTP 200
• URL finale https://worktop.dev/
• Élément de page Le sitemap public répertoriait 26 pages du même site consacrées au produit, à la documentation, aux guides, à l'assistance, aux informations juridiques, aux téléchargements et aux instructions de désinstallation.
• Observation de l’analyste Aucun formulaire de collecte d'identifiants, champ de mot de passe, champ de téléversement de fichier, iframe, redirection finale étrangère ou téléchargement automatique n'a été observé sur les pages répertoriées dans le sitemap.

La page publique de téléchargement proposait WorkTop 1.4.0 pour Windows. Le gestionnaire de téléchargement du même site redirigeait vers un installateur versionné sur artifacts.worktop.dev. Le paquet x64 récupéré était un installateur Windows NSIS de 10 875 256 octets avec le SHA-256 24a217e4e5b663777ade4e21fc94bd0a2605ba484fb8ca682732529062bbf179. Les données de certificat Authenticode intégrées nommaient Comunit AB, et les composants extraits correspondaient à l'utilitaire de bureau WorkTop documenté.

• Statut HTTP 200
• URL de l’artefact public https://artifacts.worktop.dev/releases/1.4.0/worktop-1.4.0-x64-setup.exe
• SHA-256 du fichier 24a217e4e5b663777ade4e21fc94bd0a2605ba484fb8ca682732529062bbf179
• Type MIME application/vnd.microsoft.portable-executable
• Élément de certificat L'installateur contenait une chaîne de certificats Authenticode PKCS#7 dont le certificat terminal indiquait Comunit AB comme organisation et nom commun.
• Observation de l’analyste L'inspection statique du paquet a identifié un installateur NSIS contenant l'application WorkTop, l'assistant d'installation, la bibliothèque d'extension du shell, le programme de désinstallation et le texte des licences tierces ; il n'exposait ni page de phishing ni URL de payload étrangère.

Le endpoint public de mise à jour a renvoyé des métadonnées structurées pour WorkTop 1.4.0 et une archive de mise à jour versionnée sur artifacts.worktop.dev. Le SHA-256 publié par le endpoint correspondait exactement à l'archive téléchargée, qui contenait les mêmes composants d'application nommés que le paquet d'installation.

• Statut HTTP 200
• URL de l’artefact public https://artifacts.worktop.dev/releases/1.4.0/worktop-1.4.0-x64-update.zip
• SHA-256 du fichier 8e3007f5da0fec12848aaccec8eb06b42d74651c27351e1c8e378afc5937079b
• Observation de l’analyste Le SHA-256 déclaré par le endpoint correspondait à l'archive ZIP téléchargée de 12 899 117 octets.

Les trois chemins hérités précisément signalés, /c5n9/, /7bay/ et /5fqe/, ont renvoyé HTTP 403 dans les douze combinaisons testées entre HTTP ou HTTPS et l'hôte racine ou www. Aucun contenu, destination de redirection, réponse de commande ou payload n'a été servi depuis ces chemins pendant l'examen.

• Statut HTTP 403
• Observation de l’analyste Les douze combinaisons de protocole, d'hôte et de chemin pour /c5n9/, /7bay/ et /5fqe/ ont été bloquées avec HTTP 403 sans redirection.
• Observation de l’analyste Aucune réponse ni aucun payload malveillant actuel n'a été reproduit sur les chemins hérités signalés.

L'index public des archives contenait une capture du domaine racine de décembre 2021 affichant une page générique de parking de domaine, une capture racine de novembre 2023 enregistrée en HTTP 404 et des captures d'avril 2026 du site actuel du produit WorkTop. Le dossier RDAP actuel indiquait un événement d'enregistrement le 25 janvier 2026. Aucune capture archivée des trois chemins hérités précisément signalés n'a été trouvée. Cela confirme un changement important du contenu du domaine, mais n'établit pas indépendamment qu'un malware y était auparavant exploité.

• Statut HTTP 200
• Élément de page La page racine archivée de décembre 2021 était une page générique de parking de domaine.
• Observation de l’analyste L'index des archives a enregistré le domaine racine en HTTP 404 en novembre 2023 et le site actuel du produit WorkTop en avril 2026.
• Élément DNS Le dossier RDAP actuel a signalé un événement d'enregistrement à 2026-01-25T20:57:14.051Z.
• Observation de l’analyste Aucune capture archivée n'a été renvoyée pour /c5n9/, /7bay/ ou /5fqe/ ; l'examen historique n'a donc confirmé ni ancienne passerelle de malware active ni payload.

Les hôtes racine et www ont servi le même site produit via HTTPS. Le DNS actuel plaçait les hôtes racine, www et d'artefacts derrière Cloudflare, tandis que le lien de paiement utilisait une boutique Lemon Squeezy sur store.worktop.dev. Certificate Transparency montrait l'historique actuel des certificats racine, générique, d'artefacts et de boutique depuis l'événement d'enregistrement de janvier 2026.

• Élément de certificat Le certificat actif couvrait worktop.dev et *.worktop.dev et était valide lors de l'examen enregistré.
• Élément DNS Les hôtes racine, www et artifacts se résolvaient via Cloudflare pendant l'examen.
• URL finale https://worktop.dev/