Flow.page аналіз Підозрілий сайт

Оновлений звіт Gridinsoft фіксує Suspicious Website замість Phishing або Malware. Вужча категорія відображає поточний ризик на рівні URL у просторі сторінок, керованому користувачами; вона не стверджує, що apex оператора або кожна сторінка клієнта є шкідливими.

• URL публічного артефакту https://gridinsoft.com/online-virus-scanner/url/flow-page
• Елемент сторінки Suspicious Website
• Спостереження аналітика Поточна класифікація вужча за твердження про phishing або malware для всього домену.

Apex виконав два HTTP-переспрямування та повернув сторінку продукту Flowcode з HTTP 200. Перевірений кореневий потік не містив форми облікових даних, автоматичного завантаження, файла шкідливого ПЗ чи стороннього змінного призначення.

• Статус HTTP 200
• Кінцева URL-адреса https://www.flowcode.com/product/flowhubs
• Елемент сторінки Mobile Landing Page Builder | Campaign Hubs | Flowcode

Точний створений користувачем шлях повернув HTTP 200 і залишався активним та неперевіреним. Він показував приманку про три непрочитані документи та посилання PREVIEW DOCUMENT HERE на стороннє згенероване ім'я хоста. Це призначення не розв'язувалося під час двох поточних запитів, тому за межами активної сторінки-приманки не спостерігалися поточний збирач облікових даних, завантажений файл, payload або hash.

• Статус HTTP 200
• Кінцева URL-адреса https://flow.page/auxx
• Елемент сторінки You!Ve received (3) Unread Documents!
• Елемент сторінки PREVIEW DOCUMENT HERE
• Адреса перенаправлення https://2aluxbmc2q.scracrahup.tech/
• Дані DNS 2aluxbmc2q.scracrahup.tech не розв'язувався під час двох поточних перевірок.

Другий точний створений користувачем шлях повернув HTTP 200 і залишався активним та неперевіреним. Він показував CLICK HERE TO UPDATE і посилався на об'єкт із назвою Yahoo у сторонньому сховищі. Призначення наразі повернуло HTTP 400, тому перевірка не відтворила там активну форму облікових даних, завантаження чи payload.

• Статус HTTP 200
• Кінцева URL-адреса https://flow.page/yahoo898
• Елемент сторінки CLICK HERE TO UPDATE
• Адреса перенаправлення https://yahoo768.s3.us-east-005.backblazeb2.com/yahoo.html
• Спостереження аналітика Стороннє призначення повернуло HTTP 400 під час поточної перевірки.

Ще п'ять індексованих шляхів з обмеженої вибірки переспрямували на сторінку модерації Flowcode Firewall: thjg89, skkydoubkle, btinternet20230, currentlysignin і micrroosoftt. Три шляхи вибірки залишалися активними: auxx, yahoo898 і sinisterstealer. Це підтверджує активну модерацію, але також показує, що поточні ризикові об'єкти користувачів вимикаються не послідовно.

• Кінцева URL-адреса https://www.flowcode.com/terms/404-content-mod
• Елемент сторінки Flowcode Firewall
• Спостереження аналітика П'ять із восьми індексованих шляхів вибірки дійшли до сторінки модерації; три залишалися активними.

Публічний OSINT відокремив точні об'єкти від широких доменних позначок. ANY.RUN зафіксував шкідливу phishing-активність для точної URL-адреси auxx 2024-01-11; та сама сторінка-приманка досі активна, але її стороннє призначення більше не розв'язується. urlscan показав дві фіксації цієї точної URL-адреси за 2024 рік і понад 5 000 результатів у зоні flow.page. OTX показав 569 рядків історії URL зони. Wayback проіндексував багато сторінок клієнтів, але в обмеженому запиті не було знімка auxx або yahoo898.

• URL публічного артефакту https://any.run/report/5a969a4d9e1daa9802201bed164d74b23d258d02df7468461673169a1cdef6db/245b459c-4c00-4eb2-af97-e6d12e158c76
• URL публічного артефакту https://urlscan.io/result/cab08e5b-9713-4037-a24b-3b6061cef81e/
• URL публічного артефакту https://otx.alienvault.com/indicator/domain/flow.page
• URL публічного артефакту https://web.archive.org/web/20200813201244id_/https://www.flow.page/
• Спостереження аналітика Історична поведінка точної URL-адреси та поточна доменна категорія blacklist є різними типами доказів і не вважалися взаємозамінними.

Супровідник Phishing Database повідомив, що phish.co.za був недоступний кілька тижнів, а підписники, включно з VirusTotal, не були синхронізовані. Постачальник раніше підтвердив, що його поточні списки не містять доменного, субдоменного чи URL-запису для flow.page. Поточні прямі перевірки не знайшли flow.page у шести файлах списків GitHub, тоді як офіційні публічні кінцеві точки списків повертали HTTP 503.

• URL публічного артефакту https://github.com/Phishing-Database/Phishing.Database/issues/2282
• URL публічного артефакту https://github.com/Phishing-Database/Phishing.Database/issues/2254
• Спостереження аналітика Поточні публічні вихідні дані та доменна позначка Phishing Database у VirusTotal не були синхронізовані на час перевірки.

flow.page містить легітимну поверхню оператора та великий простір шляхів і субдоменів, керований користувачами. Повний набір поточних, приватних, прострочених і майбутніх об'єктів клієнтів неможливо публічно перелічити. Чистий apex не доводить вердикт Safe для всього домену, а один шкідливий шлях клієнта не доводить, що оператор або кожна сторінка клієнта є шкідливими.

• Спостереження аналітика Майбутні знахідки зловживань мають визначати й перевіряти точну URL-адресу або субдомен та їх призначення.
• Спостереження аналітика Видалення необґрунтованої широкої phishing-позначки не сертифікує весь делегований вміст.