Bedrohliche Weiterleitung - Herkunft unbekannt

Hallo werte Adminas und Admins,

mir flog soeben ein AV-Bericht ein, dass einer meiner User auf eine schädliche Webseite (Link führt zu Virustotalbericht) besucht hat, der AV den Zugriff aber unterbunden hat.

Nun kann sich die Dame nur daran erinnern, dass Sie im Intranet auf einen noch nicht ausgebauten Link geklickt hat (ich habe dummerweise ht*p:/ /www.de als Platzhalter hinterlegt).

Als ich nun selbst auf ht*p:/ /www.de gebrowsed bin, wurde ich auch auf jene schädliche Seite weitergeleitet.
Nun interessiert mich schwer, wie das Verhalten zu Stande kommt.

Clients zeigen aufs AD, 's AD leitet weiter an AdGuardDNS und der wiederum löst über:

auf.

Das Setup sieht auch in Ordnung aus. Keine unbekannten Einträge, kein "falscher" DNS hinterlegt, bekannte Weiterleitungen (intern), ..

Nun meine Fragen:

• ist das Verhalten bei euch ebenfalls ein Thema? (ht*p:/ /www.de -> ht*p:/ /qionku.com/)
• Wie debugge ich die Geschichte nun vernünftig? Den Link habe ich bereits rausgenommen aber wie kann ich sicher sein, dass es kein internes Problem ist? (AdGuard befallen?)
• Würde Euch das kalt lassen? AV blockt ja (mich lässt es bislang nicht so kalt) Edit: deutlich erleichtert :D
• Habe ich einen Denkfehler?!

Ich freue mich über euer Feedback.

Danke und viele Grüße,

Edit: gleiches Spiel mit ht*ps:/ /www.de

Dann wird die Domain www.de weiterleiten an etwas schadhaftes. In dem Fall bin ich etwas beruhigter und habe dazu gelernt (mieser Link meinerseits).