Worktop.dev Reputationsbewertung

Die Sitemap enthielt 26 öffentliche Seiten. Jede Seite lieferte HTTP 200 unter ihrer erwarteten worktop.dev-URL. Die geprüften Seiten beschrieben ein Windows-Dienstprogramm zur Desktopverwaltung sowie Dokumentation, Anleitungen, Support, Datenschutz, Bedingungen, Download- und Deinstallationsabläufe. Es waren weder Formulare, Passwortfelder, Datei-Upload-Felder, iframes, nicht zugehörige endgültige Weiterleitungen noch automatische Downloads vorhanden. Vier Prüfungen mit Desktop- und Mobil-User-Agents lieferten identische Homepage-Inhalte.

• HTTP-Status 200
• Endgültige URL https://worktop.dev/
• Seitenelement Die öffentliche Sitemap listete 26 Seiten derselben Site zu Produkt, Dokumentation, Anleitungen, Support, rechtlichen Informationen, Downloads und Deinstallationsanweisungen auf.
• Analystenbeobachtung Auf den in der Sitemap aufgeführten Seiten wurden weder ein Formular zur Erfassung von Zugangsdaten, ein Passwortfeld, ein Datei-Upload-Feld, ein iframe, eine nicht zugehörige endgültige Weiterleitung noch ein automatischer Download beobachtet.

Die öffentliche Download-Seite bot WorkTop 1.4.0 für Windows an. Der Download-Handler derselben Site leitete zu einem versionierten Installer auf artifacts.worktop.dev weiter. Das abgerufene x64-Paket war ein 10.875.256 Byte großer NSIS-Windows-Installer mit SHA-256 24a217e4e5b663777ade4e21fc94bd0a2605ba484fb8ca682732529062bbf179. Seine eingebetteten Authenticode-Zertifikatsdaten nannten Comunit AB, und die extrahierten Komponenten entsprachen dem dokumentierten WorkTop-Desktopdienstprogramm.

• HTTP-Status 200
• Öffentliche Artefakt-URL https://artifacts.worktop.dev/releases/1.4.0/worktop-1.4.0-x64-setup.exe
• Datei-SHA-256 24a217e4e5b663777ade4e21fc94bd0a2605ba484fb8ca682732529062bbf179
• MIME-Typ application/vnd.microsoft.portable-executable
• Zertifikatsmerkmal Der Installer enthielt eine Authenticode-PKCS#7-Zertifikatskette, deren Organisation und allgemeiner Name im Endzertifikat Comunit AB lauteten.
• Analystenbeobachtung Die statische Paketprüfung identifizierte einen NSIS-Installer mit der WorkTop-Anwendung, Installationshilfe, Shell-Erweiterungsbibliothek, Deinstaller und Drittanbieter-Lizenztext; weder eine Phishing-Seite noch eine nicht zugehörige Payload-URL wurde offengelegt.

Der öffentliche Update-Endpunkt gab strukturierte Metadaten für WorkTop 1.4.0 und ein versioniertes Update-Archiv auf artifacts.worktop.dev zurück. Der vom Endpunkt veröffentlichte SHA-256 stimmte exakt mit dem heruntergeladenen Archiv überein, das dieselben benannten Anwendungskomponenten wie das Installer-Paket enthielt.

• HTTP-Status 200
• Öffentliche Artefakt-URL https://artifacts.worktop.dev/releases/1.4.0/worktop-1.4.0-x64-update.zip
• Datei-SHA-256 8e3007f5da0fec12848aaccec8eb06b42d74651c27351e1c8e378afc5937079b
• Analystenbeobachtung Der vom Endpunkt angegebene SHA-256 stimmte mit dem heruntergeladenen 12.899.117 Byte großen ZIP-Archiv überein.

Die drei ausdrücklich gemeldeten Legacy-Pfade /c5n9/, /7bay/ und /5fqe/ lieferten in allen zwölf geprüften Kombinationen aus HTTP oder HTTPS und Root- oder www-Host HTTP 403. Während der Prüfung wurden über diese Pfade keine Inhalte, Weiterleitungsziele, Befehlsantworten oder Payloads ausgeliefert.

• HTTP-Status 403
• Analystenbeobachtung Alle zwölf Kombinationen aus Protokoll, Host und Pfad für /c5n9/, /7bay/ und /5fqe/ wurden ohne Weiterleitung mit HTTP 403 blockiert.
• Analystenbeobachtung An den gemeldeten Legacy-Pfaden wurde keine aktuelle schädliche Antwort oder Payload reproduziert.

Der öffentliche Archivindex enthielt eine Root-Domain-Aufnahme vom Dezember 2021, die eine generische Domain-Parking-Seite darstellte, eine Root-Aufnahme vom November 2023 mit HTTP 404 und Aufnahmen der aktuellen WorkTop-Produktseite vom April 2026. Der aktuelle RDAP-Datensatz nannte als Registrierungsereignis den 25. Januar 2026. Für die drei ausdrücklich gemeldeten Legacy-Pfade wurde keine archivierte Aufnahme gefunden. Dies belegt eine wesentliche Änderung des Domain-Inhalts, weist aber nicht unabhängig nach, dass zuvor Malware auf der Domain betrieben wurde.

• HTTP-Status 200
• Seitenelement Die archivierte Root-Seite vom Dezember 2021 war eine generische Domain-Parking-Seite.
• Analystenbeobachtung Der Archivindex verzeichnete für die Root-Domain im November 2023 HTTP 404 und im April 2026 die aktuelle WorkTop-Produktseite.
• DNS-Merkmal Der aktuelle RDAP-Datensatz meldete ein Registrierungsereignis um 2026-01-25T20:57:14.051Z.
• Analystenbeobachtung Für /c5n9/, /7bay/ oder /5fqe/ wurde keine archivierte Aufnahme zurückgegeben; die historische Prüfung bestätigte daher weder ein früheres aktives Malware-Gateway noch eine Payload.

Die Root- und www-Hosts lieferten dieselbe Produktseite über HTTPS. Das aktuelle DNS platzierte Root-, www- und Artefakt-Hosts hinter Cloudflare, während der Checkout-Link einen Lemon-Squeezy-Shop unter store.worktop.dev verwendete. Certificate Transparency zeigte die aktuelle Zertifikatshistorie für Root, Wildcard, Artefakt und Shop ab dem Registrierungsereignis vom Januar 2026.

• Zertifikatsmerkmal Das aktive Zertifikat deckte worktop.dev und *.worktop.dev ab und war zum aufgezeichneten Prüfzeitpunkt gültig.
• DNS-Merkmal Die Root-, www- und artifacts-Hosts wurden während der Prüfung über Cloudflare aufgelöst.
• Endgültige URL https://worktop.dev/