O que a Gridinsoft observou em Dra.com.ve
Um analista de ameaças da Gridinsoft examinou diretamente o site e documentou as evidências que sustentam esta decisão.
GMA-20260824005900-81d1bb14
- Analisado
- por Gridinsoft, Analista de ameaças
- Conclusão do analista
- Seguro
- Base das evidências
- Análise própria do site Inteligência de fornecedores externos: Contexto contraditório — não usado nesta decisão
A revisão independente atual sustenta Seguro para dra.com.ve e seu host www canônico. O incidente histórico foi real: a URL exata ds5.txt serviu um bot IRC funcional em Perl pelo menos desde 2026-07-29 até capturas públicas de 2026-08-15. Ela não é mais servida. Verificações atuais com quatro perfis de requisição retornaram a página HTTP 404 normal nesse caminho, e um crawl completo das 128 URLs atuais dos sitemaps não encontrou entrega de malware, redirecionamento não relacionado, página injetada, roubo de credenciais, download automático ou outro objeto nocivo exato. Uma nova verificação da Gridinsoft alcançou o site ativo, mas reteve apenas a assinatura ampla de domínio de 2026-07-30 com positive_signals=[] e sem base atual no nível do objeto. Rótulos externos atuais de blacklist são contexto contraditório, não evidência de que a amostra removida permaneça ativa. Portanto, a categoria ampla da Gridinsoft contradizia o estado atual reproduzível e precisava ser removida. As lacunas de proteção documentadas merecem correção, mas não estabelecem comportamento malicioso atual. Seguro descreve apenas a implantação pública atual revisada.
Conclusões do analista
Análise com 7 observações documentadas Ver evidências
O objeto exato anteriormente relatado retornou HTTP 404 com o HTML normal Page not found da D’Empaire para perfis desktop, mobile, crawler do Google e revisão Gridinsoft. As quatro respostas tiveram a mesma URL final e o mesmo conteúdo; nenhuma retornou o antigo arquivo de texto, um download ou redirecionamento não relacionado.
-
Status HTTP
404 -
URL final
https://www.dra.com.ve/wp-content/languages/plugins/ds5.txt - Tipo MIME text/html; charset=UTF-8
- Elemento da página Todos os quatro perfis retornaram o título Page not found : D’Empaire e o texto visível Error 404, page not found.
Um crawl limitado revisou todas as 128 URLs únicas dos sitemaps atuais de páginas, advogados e áreas de atuação. Todas as URLs finais permaneceram em www.dra.com.ve; 127 retornaram HTTP 200 e a rota splash obsoleta retornou a mesma página HTTP 404 normal. Nenhuma página revisada referenciou ds5.txt, download executável ou de arquivo, destino não relacionado, iframe injetado ou fluxo de coleta de credenciais.
- Observação do analista O conjunto atual de sitemaps continha 128 URLs únicas da mesma origem; 127 retornaram HTTP 200 e uma rota splash obsoleta retornou HTTP 404.
- Observação do analista Cada URL final revisada usou www.dra.com.ve, e nenhuma página revisada referenciou download executável, instalador, arquivo, pacote de scripts, pacote móvel ou ds5.txt.
- Elemento da página O único iframe encontrado foi o fallback esperado do Google reCAPTCHA nas duas páginas de contato da mesma origem; seus formulários enviavam para âncoras de contato da mesma origem.
- Observação do analista Os hosts externos de conteúdo revisados ficaram limitados a cdn.jsdelivr.net, Font Awesome, Google, Google Tag Manager, LinkedIn, gmpg.org e o próprio site.
O endpoint raiz redirecionou uma vez para a página canônica https://www.dra.com.ve/ que retornou HTTP 200. Resolvers da Cloudflare, Google e Quad9 retornaram o mesmo endereço para o domínio raiz e www. O certificado ativo cobria ambos os nomes e era válido até 2026-11-12.
-
Status HTTP
200 -
Destino do redirecionamento
https://www.dra.com.ve/ - Dado de DNS Cloudflare, Google e Quad9 resolveram dra.com.ve e www.dra.com.ve para 216.70.101.123 durante a revisão.
- Dado do certificado O certificado Let’s Encrypt cobria dra.com.ve e www.dra.com.ve e era válido de 2026-08-14 até 2026-11-12.
Uma nova verificação compatível da Gridinsoft alcançou o site atual com HTTP 200, mas reteve a assinatura ampla Suspicious Website datada de 2026-07-30. O relatório atual exibiu uma lista vazia de sinais positivos e não nomeou URL maliciosa atual exata, arquivo, payload, destino de redirecionamento, exploit, comando ou hash que sustentasse essa categoria para todo o domínio.
-
Status HTTP
200 - Observação do analista O novo relatório retornou positive_signals=[] para a implantação atual.
- Observação do analista A assinatura de domínio retida era datada de 2026-07-30 e não continha objeto malicioso atual exato nem traço de comportamento.
Evidências públicas históricas confirmaram que o caminho relatado era um objeto malicioso real e não um falso alarme. Registros públicos do urlscan retornaram HTTP 200 e text/plain para essa URL exata de 2026-07-29 a 2026-08-06. Uma captura do Wayback de 2026-08-15 preservou um ShellBOT em Perl que se conectava a um canal de comando IRC e implementava shell remota, download, varredura de portas, conexão reversa, correio e funções de inundação UDP. Registros posteriores do urlscan em 2026-08-18 e 2026-08-21 retornaram HTTP 404.
- URL do artefato público https://urlscan.io/result/019fae2b-4fcd-753c-9b67-8f8f33e81294/
- URL do artefato público https://urlscan.io/result/019fd58e-bcbe-750f-bb3a-c5ea6a891a5f/
- URL do artefato público https://urlscan.io/result/01a0157c-ea57-7499-be36-bf6116ad1c00/
- Observação do analista A resposta arquivada de 2026-08-15 tinha 32,438 bytes de código-fonte Perl text/plain, identificava-se como ShellBOT e expunha funções de administração remota e ataque controladas por IRC.
- Observação do analista O registro histórico do objeto exato e o estado HTTP 404 atual estabelecem um comprometimento limitado no tempo e sua remoção; não estabelecem comportamento malicioso atual em todo o domínio.
O OTX listou dois pulses derivados do URLHaus para o hostname www exato e identificou a URL ds5.txt, enquanto a entrada do domínio registrável não tinha pulse. Índices públicos de malware identificaram o arquivo preservado como malware de botnet. Separadamente, o snapshot externo atual do domínio ainda continha rótulos maliciosos ou suspeitos de blacklist, mas não nomeava caminho nocivo atualmente alcançável nem traço de comportamento atual. Índices públicos da web associavam consistentemente o domínio raiz ao escritório D’Empaire de longa existência.
- URL do artefato público https://otx.alienvault.com/indicator/hostname/www.dra.com.ve
- URL do artefato público https://otx.alienvault.com/indicator/domain/dra.com.ve
- Observação do analista O identificador de URL do VirusTotal fornecido corresponde a http://www.dra.com.ve/, e não ao objeto histórico ds5.txt.
- Observação do analista Os resultados externos atuais do domínio permaneceram classificações de blacklist e não reproduziram o objeto exato removido; os resultados externos foram apenas contexto.
- Observação do analista Diretórios jurídicos públicos independentes e perfis profissionais identificaram consistentemente www.dra.com.ve como o site da D’Empaire, escritório venezuelano fundado em 1972.
A resposta raiz atual não incluía HSTS, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy ou Permissions-Policy, e plesk.dra.com.ve expunha o login do painel de controle de hospedagem. São preocupações atuais de superfície de ataque e proteção após um comprometimento recente, mas nenhum exploit, login não autorizado, conteúdo injetado ou resposta maliciosa foi reproduzido.
- Elemento da página A resposta raiz revisada expôs cabeçalhos de servidor e plataforma, mas nenhum dos cabeçalhos de política de segurança do navegador listados.
-
URL final
https://plesk.dra.com.ve:443/login.php - Observação do analista O endpoint do painel exibiu o login esperado do Plesk e não foi autenticado, testado por penetração nem tratado como evidência de comprometimento.
Escopo e limitações
- O veredito se aplica a dra.com.ve, www.dra.com.ve e ao caminho exato ds5.txt acessíveis publicamente no momento registrado; ele não apaga nem contradiz o comprometimento histórico confirmado.
- A revisão não acessou o sistema de arquivos privado do servidor, banco de dados, conta Plesk, administrador WordPress, repositório-fonte, pipeline de implantação, backups, telemetria de endpoints ou logs do servidor; portanto, as medidas internas de remediação do solicitante não foram auditadas independentemente.
- O arquivo Perl arquivado foi revisado estaticamente e não foi executado nem autorizado a contactar sua infraestrutura configurada.
- Nenhum formulário de contato foi enviado e nenhuma função administrativa ou autenticada foi exercida.
- Índices públicos de pesquisa, verificação de URL, sandbox, threat intelligence, certificados e arquivos são incompletos. Resultados de APIs com autenticação que não puderam ser obtidos foram tratados como não verificados, não como limpos.
- O login público do Plesk não foi testado por penetração. Sua presença e a ausência de cabeçalhos de política de segurança do navegador são preocupações de proteção, não prova de comprometimento atual.
- Seguro descreve o comportamento de segurança atual observado e não garante conteúdo futuro, integridade da infraestrutura ou imunidade a outro comprometimento.
Ajude a proteger outras pessoas compartilhando esta página nas redes sociais! Quanto mais pessoas souberem sobre dra.com.ve, menores serão as chances de alguém ser enganado. Ajude outras pessoas a avaliar dra.com.ve compartilhando esta página nas redes sociais!