O que a Gridinsoft observou em Go.wha.link
Um analista de ameaças da Gridinsoft examinou diretamente o site e documentou as evidências que sustentam esta decisão.
GMA-20260825041619-4acf5eac
- Analisado
- por Gridinsoft, Analista de ameaças
- Conclusão do analista
- Serviço de links do WhatsApp — análise por objeto necessária
- Base das evidências
- Análise própria do site Inteligência de fornecedores externos: Contexto contraditório — não usado nesta decisão
A análise independente atual não reproduziu comportamento que sustentasse a classificação ampla Suspicious Website para go.wha.link. O resultado recente da Gridinsoft não apontou objeto nocivo, e o código curto ativo, dois objetos de arquivo recuperáveis e cinco capturas de scans públicos mostraram de forma consistente fluxos de convite do WhatsApp sem destino web arbitrário, coletor de credenciais, download malicioso, payload ou hash. O registro público antigo de sandbox diz respeito a uma página específica de group.wha.link e a atividade genérica de execução, não a uma amostra atual de malware no host exato. Portanto, a detecção ampla não sustentada do host deve ser removida. Como go.wha.link continua sendo um espaço de códigos curtos criados por usuários cujo conteúdo completo e conversas de destino não podem ser enumerados, isto não certifica cada código; futuros alertas exigem análise do objeto exato e do destino.
Conclusões do analista
Análise com 8 observações documentadas Ver evidências
Foi concluído um novo rescan compatível da Gridinsoft para go.wha.link, mantendo a categoria existente Suspicious Website. O resultado atual alcançou o host com HTTP 200, mas não identificou um sinal atual de comportamento nocivo nem uma URL maliciosa exata, receptor de phishing, redirecionamento não relacionado, arquivo de malware, payload, exploit, comando ou hash.
- URL do artefato público https://gridinsoft.com/online-virus-scanner/url/go-wha-link
-
Status HTTP
200 - Elemento da página Site suspeito
- Observação do analista O relatório recente não identificou observação positiva atual de comportamento nem objeto nocivo exato que sustentasse a categoria ampla mantida.
A página pública atual do código curto retornou HTTP 200 e apresentou um convite identificado para um grupo do WhatsApp. Seu HTML completo continha um código de grupo do WhatsApp e ramificações de navegação apenas para o esquema do aplicativo WhatsApp, web.whatsapp.com ou chat.whatsapp.com. A resposta analisada não continha destino web arbitrário de terceiros, download de executável ou arquivo, formulário de credenciais, entrega automática de arquivo nem payload de malware.
-
Status HTTP
200 -
URL final
https://go.wha.link/dPYqne - Elemento da página Convite para grupo do WhatsApp
-
Destino do redirecionamento
https://web.whatsapp.com/accept -
Destino do redirecionamento
https://chat.whatsapp.com/ - SHA-256 do arquivo 1a3597cd4e7e1bf0d59ea378da810bd22e855d71267137a0f83d920e8f31a7dc
O índice público do urlscan continha seis resultados exatos de páginas go.wha.link entre março e julho de 2026. Cinco capturas disponíveis foram analisadas e mostraram consistentemente páginas de convite para grupos do WhatsApp com a marca Funnelchat para comunidades empresariais, educacionais e de eventos. Os metadados indexados não expunham veredito malicioso nem executável baixado, e as capturas não mostravam formulário de credenciais, atualização falsa, instrução de comando ou página de destino não relacionada.
- URL do artefato público https://urlscan.io/result/019f8aef-852f-75dd-a9c7-0c06f864446a/
- URL do artefato público https://urlscan.io/result/019f761f-57b1-70f7-912b-2ab98004880a/
- URL do artefato público https://urlscan.io/result/019ece5a-82c6-749e-b4cf-c1692ee19d6c/
- URL do artefato público https://urlscan.io/result/019e27df-d41a-75fe-85b7-0595cc852386/
- URL do artefato público https://urlscan.io/result/019d2a94-42ca-730d-81a5-0bb4da3d63ec/
- SHA-256 da captura 4d8368ee6b8b673e68161233ea295ec0c9509e29030375073b0b8dfc4f6dff8a
- SHA-256 da captura 4a6e536a0f2d40ab62203fb97691fc50c1fa283895825a802b47a4c4d7565d25
- SHA-256 da captura 59923000ee8d9b26d930519ca3170ba35455aabb29f43b2447ffa385f6a3f648
- SHA-256 da captura a17e95ea76dbc6e877c9434f02a5fa5a23216ef66c8473c1d638d03b8228f898
- SHA-256 da captura fc4d22aba4b71a5c4f42289316171ac745825a197f131ec7b002e950aa312447
O índice do Internet Archive retornou quatro capturas HTTP-200 distintas sob go.wha.link. Duas capturas recuperáveis de códigos curtos de abril de 2026 continham códigos explícitos de grupos do WhatsApp e ramificações de navegação apenas para o aplicativo WhatsApp, web.whatsapp.com ou chat.whatsapp.com. A amostra não continha destino web não relacionado, referência executável ou de arquivo, formulário de coleta de credenciais nem payload malicioso específico.
- URL do artefato público https://web.archive.org/web/20260410165021id_/https://go.wha.link/bk6XXa
- URL do artefato público https://web.archive.org/web/20260430131030id_/https://go.wha.link/bm7xGe
- SHA-256 do arquivo 5a5874a747c1c67715fed9943d52cb21efaabf9c831712bf658d2fd807176d96
- SHA-256 do arquivo d38fa19167773c26c31afc6789e34ae07ac5201ea5443aa7056fd3eb3dcb9734
- Observação do analista O índice de arquivo é uma amostra pública finita, não um inventário completo de todos os códigos curtos históricos ou atuais.
O registro público do Falcon Sandbox cobre a URL específica group.wha.link/dBL7Xa de julho de 2025, não um objeto exato de go.wha.link. Seus indicadores visíveis descrevem processos do navegador, solicitações DNS e HTTP, uma imagem de página baixada e um documento HTML extraído. O registro público não identifica executável de malware, hash de payload atribuível ao serviço, receptor de credenciais, exploit nem destino nocivo alcançado a partir desse objeto. A mesma URL de grupo agora retorna HTTP 403.
- URL do artefato público https://hybrid-analysis.com/sample/0af07acd1724f5e8517130cde693d5870d137c09474aaddba35a9975453ecc95/687dd1eff16f1b208e04a22d
-
URL final
https://group.wha.link/dBL7Xa -
Status HTTP
403 - Observação do analista O registro de sandbox documenta uma página histórica de group.wha.link e atividade genérica de execução; não é uma amostra atual de malware de go.wha.link.
O domínio pai é a superfície do operador e do gerador de links. Um novo scan compatível o alcançou com HTTP 200 e não identificou sinal atual de comportamento nocivo, enquanto solicitações diretas posteriores de desktop e celular durante a análise manual retornaram HTTP 502 sem redirecionamento externo nem payload. Um instantâneo público de pesquisa do dia anterior descrevia campos de telefone e mensagem para criar links do WhatsApp. A indisponibilidade intermitente da raiz não demonstra comportamento malicioso e também impede um teste completo do fluxo atual do gerador.
- URL do artefato público https://wha.link/
-
Status HTTP
200 -
Status HTTP
502 - Observação do analista A raiz ficou indisponível para dois perfis diretos semelhantes a navegadores durante a etapa manual final; nenhuma solicitação de geração de link que alterasse o estado foi enviada.
O host exato e o domínio pai resolveram por meio da Cloudflare. O host exato apresentou um certificado atualmente válido da Google Trust Services para go.wha.link. Ambos publicaram SPF -all; o domínio pai publicou um registro MX nulo e uma política DMARC estrita de rejeição. Esses registros reduzem o uso não autorizado de e-mail no espaço de nomes, mas não provam a segurança de cada código curto hospedado nem de cada grupo do WhatsApp.
- Dado de DNS go.wha.link A 104.26.10.42, 104.26.11.42, and 172.67.68.127
- Dado de DNS go.wha.link TXT v=spf1 -all
- Dado de DNS wha.link MX 0 .
- Dado de DNS _dmarc.wha.link publishes p=reject, sp=reject, adkim=s, and aspf=s
- Dado do certificado Certificado Google Trust Services WE1 para go.wha.link, válido de 2026-07-23T20:15:55Z até 2026-10-21T21:15:53Z.
go.wha.link contém códigos curtos criados por usuários para chats, grupos ou canais do WhatsApp. O objeto ativo analisado, os objetos arquivados e a amostra de scans públicos não reproduziram navegação arbitrária para sites de terceiros nem entrega maliciosa, mas o espaço completo de códigos atuais e futuros não é publicamente enumerável. A Gridinsoft também não pode avaliar o conteúdo e a conduta em cada conversa de destino do WhatsApp apenas pela página do link curto.
- Observação do analista Uma superfície limpa do operador e uma amostra limpa finita não podem certificar cada código curto existente ou futuro criado por usuários.
- Observação do analista Futuros relatos de abuso exigem a URL exata do código curto e evidências específicas do destino.
Escopo e limitações
- A análise cobriu o resultado atual da Gridinsoft, um código curto exato ativo, cinco capturas de scans públicos, dois objetos arquivados recuperáveis do host exato, a superfície do operador pai, DNS, TLS e o registro histórico de sandbox identificado.
- O espaço completo de códigos curtos atuais e futuros não é publicamente enumerável, e objetos privados ou excluídos não foram acessados.
- A raiz do gerador pai retornou HTTP 502 nas verificações diretas finais de desktop e celular; portanto, nenhum novo link foi criado e a solicitação completa de geração atual não foi enviada.
- A análise pode inspecionar a navegação a partir da página do link curto, mas não pode certificar mensagens, participantes ou conduta em cada chat, grupo ou canal de destino do WhatsApp.
- As APIs públicas de URLhaus e ThreatFox exigiram autorização, OTX não respondeu dentro da solicitação limitada e as páginas públicas do VirusTotal não puderam ser recuperadas sem uma sessão interativa. Essas fontes indisponíveis não foram tratadas como resultados limpos.
- Rótulos externos residuais no nível do domínio permanecem contexto controlado de forma independente e não equivalem a uma URL maliciosa atual reproduzível nem a um payload.
Ajude a proteger outras pessoas compartilhando esta página nas redes sociais! Quanto mais pessoas souberem sobre go.wha.link, menores serão as chances de alguém ser enganado. Ajude outras pessoas a avaliar go.wha.link compartilhando esta página nas redes sociais!