Flow.page análise de Site suspeito

O relatório atualizado da Gridinsoft registra Suspicious Website em vez de Phishing ou Malware. A categoria mais restrita representa o risco atual por URL em um namespace de páginas controlado por usuários; não afirma que o apex do operador ou toda página de cliente seja maliciosa.

• URL do artefato público https://gridinsoft.com/online-virus-scanner/url/flow-page
• Elemento da página Suspicious Website
• Observação do analista A classificação atual é mais restrita do que uma alegação de phishing ou malware para todo o domínio.

O apex concluiu dois redirecionamentos HTTP e retornou a página de produto da Flowcode com HTTP 200. O fluxo raiz analisado não apresentou formulário de credenciais, download automático, arquivo de malware nem destino externo variável.

• Status HTTP 200
• URL final https://www.flowcode.com/product/flowhubs
• Elemento da página Mobile Landing Page Builder | Campaign Hubs | Flowcode

O caminho exato criado por usuário retornou HTTP 200 e permaneceu ativo e não verificado. Ele exibiu uma isca de três documentos não lidos e um link PREVIEW DOCUMENT HERE para um hostname gerado sem relação. Esse destino não resolveu em duas solicitações atuais; portanto, não foi observado receptor atual de credenciais, arquivo baixado, payload ou hash além da página de isca ativa.

• Status HTTP 200
• URL final https://flow.page/auxx
• Elemento da página You!Ve received (3) Unread Documents!
• Elemento da página PREVIEW DOCUMENT HERE
• Destino do redirecionamento https://2aluxbmc2q.scracrahup.tech/
• Dado de DNS 2aluxbmc2q.scracrahup.tech não resolveu durante duas verificações atuais.

Um segundo caminho exato criado por usuário retornou HTTP 200 e permaneceu ativo e não verificado. Ele mostrava CLICK HERE TO UPDATE e apontava para um objeto com nome Yahoo em armazenamento de terceiros. O destino atualmente retornou HTTP 400, por isso a análise não reproduziu ali um formulário ativo de credenciais, download ou payload.

• Status HTTP 200
• URL final https://flow.page/yahoo898
• Elemento da página CLICK HERE TO UPDATE
• Destino do redirecionamento https://yahoo768.s3.us-east-005.backblazeb2.com/yahoo.html
• Observação do analista O destino de terceiros retornou HTTP 400 durante a análise atual.

Outros cinco caminhos indexados da amostra limitada redirecionaram para a página de moderação Flowcode Firewall: thjg89, skkydoubkle, btinternet20230, currentlysignin e micrroosoftt. Três caminhos da amostra permaneceram ativos: auxx, yahoo898 e sinisterstealer. Isso confirma moderação ativa, mas também mostra que objetos atuais de risco criados por usuários não são desativados de forma uniforme.

• URL final https://www.flowcode.com/terms/404-content-mod
• Elemento da página Flowcode Firewall
• Observação do analista Cinco de oito caminhos indexados da amostra chegaram à página de moderação; três permaneceram ativos.

O OSINT público diferenciou objetos exatos de etiquetas amplas de domínio. O ANY.RUN registrou atividade maliciosa de phishing para a URL exata auxx em 2024-01-11; o mesmo caminho de isca ainda está ativo hoje, mas seu destino externo já não resolve. O urlscan mostrou duas capturas de 2024 dessa URL exata e mais de 5.000 resultados na zona flow.page. O OTX mostrou 569 linhas de histórico de URLs da zona. O Wayback indexou muitas páginas de clientes, mas nenhuma captura de auxx ou yahoo898 na consulta limitada.

• URL do artefato público https://any.run/report/5a969a4d9e1daa9802201bed164d74b23d258d02df7468461673169a1cdef6db/245b459c-4c00-4eb2-af97-e6d12e158c76
• URL do artefato público https://urlscan.io/result/cab08e5b-9713-4037-a24b-3b6061cef81e/
• URL do artefato público https://otx.alienvault.com/indicator/domain/flow.page
• URL do artefato público https://web.archive.org/web/20200813201244id_/https://www.flow.page/
• Observação do analista O comportamento histórico de uma URL exata e uma categoria atual de blacklist de domínio são tipos de evidência diferentes e não foram tratados como intercambiáveis.

Um mantenedor do Phishing Database afirmou que phish.co.za estava indisponível havia semanas e que assinantes, incluindo o VirusTotal, não estavam sincronizados. O provedor já havia confirmado que suas listas atuais não continham entrada de domínio, subdomínio ou URL para flow.page. Verificações diretas atuais não encontraram flow.page em seis arquivos de listas do GitHub, enquanto os endpoints oficiais das listas públicas retornaram HTTP 503.

• URL do artefato público https://github.com/Phishing-Database/Phishing.Database/issues/2282
• URL do artefato público https://github.com/Phishing-Database/Phishing.Database/issues/2254
• Observação do analista Os dados públicos atuais da fonte e a etiqueta de domínio do Phishing Database no VirusTotal estavam fora de sincronia no momento da análise.

flow.page contém uma superfície legítima do operador e um grande namespace de caminhos e subdomínios controlado por usuários. O conjunto completo de objetos atuais, privados, expirados e futuros de clientes não pode ser enumerado publicamente. Um apex limpo não estabelece um veredito Safe para todo o domínio, enquanto um caminho malicioso de cliente não prova que o operador ou todas as páginas sejam maliciosos.

• Observação do analista Achados futuros de abuso devem identificar e analisar a URL ou o subdomínio exato e seu destino.
• Observação do analista Remover uma etiqueta ampla de phishing sem suporte não certifica todo o conteúdo delegado.