Що Gridinsoft спостерігала на Go.wha.link
Аналітик загроз Gridinsoft безпосередньо перевірив сайт і задокументував докази, на яких ґрунтується це рішення.
GMA-20260825041619-4acf5eac
- Перевірено
- Gridinsoft, аналітик загроз
- Висновок аналітика
- Служба посилань WhatsApp — потрібна перевірка конкретного об’єкта
- Доказова база
- Власний аналіз сайту Дані зовнішніх постачальників: Суперечливий контекст — не використано для цього рішення
Поточна незалежна перевірка не відтворила поведінки, що підтверджувала б широку класифікацію Suspicious Website для go.wha.link. Свіжий результат Gridinsoft не назвав шкідливого об’єкта, а активний короткий код, два доступні архівні об’єкти й п’ять знімків публічних сканувань узгоджено показали сценарії запрошення WhatsApp без довільного вебпризначення, збирача облікових даних, шкідливого завантаження, payload або hash. Старий публічний запис sandbox стосується конкретної сторінки group.wha.link і загальної активності виконання, а не поточного зразка malware на точному хості. Тому непідтверджене широке виявлення хоста слід видалити. Оскільки go.wha.link залишається простором створених користувачами коротких кодів, повний вміст і цільові розмови якого неможливо перелічити, це не є сертифікацією кожного коду; майбутні повідомлення потребують перевірки точного об’єкта й призначення.
Висновки аналітика
Перевірка: задокументовано 8 спостережень Переглянути докази
Для go.wha.link завершено нове підтримуване сканування Gridinsoft, яке зберегло наявну категорію Suspicious Website. Поточний результат досяг хоста з HTTP 200, але не визначив поточного сигналу шкідливої поведінки чи точної шкідливої URL-адреси, одержувача phishing, стороннього перенаправлення, файла malware, payload, exploit, команди або hash.
- URL публічного артефакту https://gridinsoft.com/online-virus-scanner/url/go-wha-link
-
Статус HTTP
200 - Елемент сторінки Підозрілий вебсайт
- Спостереження аналітика Свіжий звіт не визначив поточного позитивного спостереження поведінки чи точного шкідливого об’єкта, що підтверджував би збережену широку категорію.
Поточна публічна сторінка короткого коду повернула HTTP 200 і показала іменоване запрошення до групи WhatsApp. Її повний HTML містив код групи WhatsApp і гілки навігації лише до схеми застосунку WhatsApp, web.whatsapp.com або chat.whatsapp.com. У перевіреній відповіді не було довільного стороннього вебпризначення, завантаження виконуваного файла чи архіву, форми облікових даних, автоматичної доставки файла або payload malware.
-
Статус HTTP
200 -
Кінцева URL-адреса
https://go.wha.link/dPYqne - Елемент сторінки Запрошення до групи WhatsApp
-
Адреса перенаправлення
https://web.whatsapp.com/accept -
Адреса перенаправлення
https://chat.whatsapp.com/ - SHA-256 файлу 1a3597cd4e7e1bf0d59ea378da810bd22e855d71267137a0f83d920e8f31a7dc
Публічний індекс urlscan містив шість точних результатів сторінок go.wha.link за період із березня до липня 2026 року. Перевірено п’ять доступних знімків; усі показували оформлені Funnelchat сторінки запрошень до груп WhatsApp для бізнесових, освітніх і подієвих спільнот. Індексовані метадані не містили шкідливого вердикту чи завантаженого виконуваного файла, а знімки не показували форми облікових даних, підробленого оновлення, інструкції команди або сторонньої цільової сторінки.
- URL публічного артефакту https://urlscan.io/result/019f8aef-852f-75dd-a9c7-0c06f864446a/
- URL публічного артефакту https://urlscan.io/result/019f761f-57b1-70f7-912b-2ab98004880a/
- URL публічного артефакту https://urlscan.io/result/019ece5a-82c6-749e-b4cf-c1692ee19d6c/
- URL публічного артефакту https://urlscan.io/result/019e27df-d41a-75fe-85b7-0595cc852386/
- URL публічного артефакту https://urlscan.io/result/019d2a94-42ca-730d-81a5-0bb4da3d63ec/
- SHA-256 знімка 4d8368ee6b8b673e68161233ea295ec0c9509e29030375073b0b8dfc4f6dff8a
- SHA-256 знімка 4a6e536a0f2d40ab62203fb97691fc50c1fa283895825a802b47a4c4d7565d25
- SHA-256 знімка 59923000ee8d9b26d930519ca3170ba35455aabb29f43b2447ffa385f6a3f648
- SHA-256 знімка a17e95ea76dbc6e877c9434f02a5fa5a23216ef66c8473c1d638d03b8228f898
- SHA-256 знімка fc4d22aba4b71a5c4f42289316171ac745825a197f131ec7b002e950aa312447
Індекс Internet Archive повернув чотири різні знімки HTTP-200 під go.wha.link. Два доступні знімки коротких кодів за квітень 2026 року містили явні коди груп WhatsApp і гілки навігації лише до застосунку WhatsApp, web.whatsapp.com або chat.whatsapp.com. Вибірка не містила стороннього вебпризначення, посилання на виконуваний файл чи архів, форми збору облікових даних або конкретного шкідливого payload.
- URL публічного артефакту https://web.archive.org/web/20260410165021id_/https://go.wha.link/bk6XXa
- URL публічного артефакту https://web.archive.org/web/20260430131030id_/https://go.wha.link/bm7xGe
- SHA-256 файлу 5a5874a747c1c67715fed9943d52cb21efaabf9c831712bf658d2fd807176d96
- SHA-256 файлу d38fa19167773c26c31afc6789e34ae07ac5201ea5443aa7056fd3eb3dcb9734
- Спостереження аналітика Архівний індекс є обмеженою публічною вибіркою, а не повним переліком усіх історичних або поточних коротких кодів.
Публічний запис Falcon Sandbox стосується конкретної URL-адреси group.wha.link/dBL7Xa за липень 2025 року, а не точного об’єкта go.wha.link. Видимі індикатори описують процеси браузера, запити DNS і HTTP, завантажене зображення сторінки та вилучений документ HTML. Публічний запис не визначає виконуваного файла malware, hash payload, який можна приписати службі, одержувача облікових даних, exploit або шкідливого призначення, досягнутого з цього об’єкта. Та сама URL-адреса групи зараз повертає HTTP 403.
- URL публічного артефакту https://hybrid-analysis.com/sample/0af07acd1724f5e8517130cde693d5870d137c09474aaddba35a9975453ecc95/687dd1eff16f1b208e04a22d
-
Кінцева URL-адреса
https://group.wha.link/dBL7Xa -
Статус HTTP
403 - Спостереження аналітика Запис sandbox документує одну історичну сторінку group.wha.link і загальну активність виконання; це не поточний зразок malware для go.wha.link.
Батьківський домен є поверхнею оператора та створення посилань. Нове підтримуване сканування досягло його з HTTP 200 і не визначило поточного сигналу шкідливої поведінки, тоді як пізніші прямі запити для настільного й мобільного профілів під час ручної перевірки повернули HTTP 502 без зовнішнього перенаправлення чи payload. Публічний пошуковий знімок попереднього дня описував поля номера телефону й повідомлення для створення посилань WhatsApp. Періодична недоступність кореня не доводить шкідливу поведінку й водночас унеможливлює повний поточний тест генератора.
- URL публічного артефакту https://wha.link/
-
Статус HTTP
200 -
Статус HTTP
502 - Спостереження аналітика Коренева сторінка була недоступна для двох прямих браузероподібних профілів під час фінального ручного проходу; запит на створення посилання зі зміною стану не надсилався.
Точний хост і батьківський домен визначалися через Cloudflare. Точний хост надав чинний сертифікат Google Trust Services для go.wha.link. Обидва хости опублікували SPF -all; батьківський домен опублікував нульовий запис MX і сувору політику відхилення DMARC. Ці записи зменшують несанкціоноване використання електронної пошти простору імен, але не доводять безпечність кожного розміщеного короткого коду чи групи WhatsApp.
- Дані DNS go.wha.link A 104.26.10.42, 104.26.11.42, and 172.67.68.127
- Дані DNS go.wha.link TXT v=spf1 -all
- Дані DNS wha.link MX 0 .
- Дані DNS _dmarc.wha.link publishes p=reject, sp=reject, adkim=s, and aspf=s
- Дані сертифіката Сертифікат Google Trust Services WE1 для go.wha.link, чинний від 2026-07-23T20:15:55Z до 2026-10-21T21:15:53Z.
go.wha.link містить створені користувачами короткі коди для чатів, груп або каналів WhatsApp. Перевірені активний об’єкт, архівні об’єкти й вибірка публічних сканувань не відтворили довільної сторонньої вебнавігації або шкідливої доставки, але повний поточний і майбутній простір кодів не можна публічно перелічити. Gridinsoft також не може оцінити вміст і поведінку в кожній цільовій розмові WhatsApp лише за сторінкою короткого посилання.
- Спостереження аналітика Чиста поверхня оператора й обмежена чиста вибірка не можуть сертифікувати кожен наявний або майбутній створений користувачами короткий код.
- Спостереження аналітика Майбутні повідомлення про зловживання потребують точної URL-адреси короткого коду й доказів щодо конкретного призначення.
Обсяг і обмеження
- Перевірка охопила поточний результат Gridinsoft, один активний точний короткий код, п’ять знімків публічних сканувань, два доступні архівні об’єкти точного хоста, поверхню батьківського оператора, DNS, TLS і виявлений історичний запис sandbox.
- Повний поточний і майбутній простір коротких кодів не можна публічно перелічити; приватні або видалені об’єкти не відкривалися.
- Коренева сторінка батьківського генератора повернула HTTP 502 під час фінальних прямих настільних і мобільних перевірок, тому нове посилання не створювалося й повний поточний запит генерації не надсилався.
- Перевірка може дослідити навігацію зі сторінки короткого посилання, але не може сертифікувати повідомлення, учасників або поведінку в кожному цільовому чаті, групі чи каналі WhatsApp.
- Публічні APIs URLhaus і ThreatFox вимагали авторизації, OTX не відповів у межах обмеженого запиту, а публічні сторінки VirusTotal не вдалося отримати без інтерактивної сесії. Ці недоступні джерела не вважалися чистими результатами.
- Залишкові зовнішні позначки на рівні домену є незалежно керованим контекстом і не еквівалентні відтворюваній поточній шкідливій URL-адресі чи payload.
Допоможіть захистити інших, поділіться цією сторінкою у соціальних мережах! Чим більше людей дізнається про go.wha.link, тим менше шансів у них когось ошукати. Допоможіть іншим оцінити go.wha.link, поділившись цією сторінкою у соціальних мережах!