Goldmountaingolf.com Phishing

Die überprüfte Website zeigte den erwarteten Inhalt des Gold Mountain Golf Club. Ihre öffentliche Sitemap enthielt normale Routen für Golf, Restaurant, Veranstaltungen, Shop, Warenkorb und Checkout; in der überprüften Navigation wurde weder eine sachfremde automatische Weiterleitung der obersten Ebene noch ein Download einer ausführbaren Datei reproduziert.

• HTTP-Status 200
• Endgültige URL https://goldmountaingolf.com/
• Analystenbeobachtung Der sichtbare Betreiberinhalt passt zu einer Golfplatz- und Hospitality-Website, doch diese legitime Darstellung beseitigt nicht die getrennte Kompromittierung des Checkout-Codes.

Im Footer der Live-Website war ein mit gli0 bezeichnetes Skriptelement vorhanden. Es prüft, ob der Browserpfad checkout enthält, sendet eine POST-Anfrage an https://brisca.sbs/, dekodiert die Antwort als JavaScript-Quell-URL und fügt dieses externe Skript der Seite hinzu. Derselbe eingeschleuste Loader wurde auf gewöhnlichen Seiten reproduziert, während sein bedingtes Verhalten auf den Checkout-Pfad zielt.

• Seitenelement Skriptelement mit der ID gli0
• Öffentliche Artefakt-URL https://brisca.sbs/
• Analystenbeobachtung Der Loader fügt dynamisch eine JavaScript-Quelle eines Drittanbieters hinzu, jedoch nur wenn der aktuelle Pfad checkout enthält.

Nach dem Hinzufügen eines derzeit gelisteten Produkts zu einem temporären Warenkorb gab der Checkout HTTP 200 zurück und zeigte Felder für Kartennummer, Ablaufmonat und -jahr sowie Kartenprüfnummer. Der auf den Checkout zielende externe Loader war in derselben Antwort vorhanden.

• HTTP-Status 200
• Endgültige URL https://goldmountaingolf.com/checkout/
• Seitenelement Felder für Kreditkartennummer, Ablaufdatum und Kartenprüfnummer

Der externe Loader-Endpunkt gab von zwei unabhängigen Netzwerkstandorten DNS NXDOMAIN zurück. Daher konnten während dieser Prüfung weder eine Payload-URL noch Payload-Bytes, ein Datei-Hash, eine Zugangsdatenübermittlung oder eine Übertragung von Kartendaten abgerufen oder beobachtet werden.

• DNS-Merkmal brisca.sbs gab NXDOMAIN für A-, AAAA- und NS-Abfragen zurück
• Analystenbeobachtung Für die Analyse war kein aktuelles Skript der zweiten Stufe und kein Payload-Hash verfügbar.

Archivierte Homepage-Aufnahmen aus 2017, 2019, 2022, Januar 2025 und vom 2. Juli 2025 enthielten den gli0-Loader nicht. Eine Aufnahme vom 11. Oktober 2025 enthielt denselben auf den Checkout zielenden Loader und den Endpunkt https://brisca.sbs/ ebenso wie spätere überprüfte Aufnahmen aus November 2025 sowie Mai und Juni 2026.

• Öffentliche Artefakt-URL https://web.archive.org/web/20250702200013/https://goldmountaingolf.com/
• Öffentliche Artefakt-URL https://web.archive.org/web/20251011153447/https://goldmountaingolf.com/
• Analystenbeobachtung Das überprüfte Archiv belegt die Einführung zwischen dem 2. Juli und dem 11. Oktober 2025 sowie die Fortdauer auf der aktuellen Website; es belegt nicht, wann die nicht verfügbare zweite Stufe aktiv war.