Domains und URLs in Blocklisten für hosts, AdGuard, Pi-hole, RPZ, dnsmasq oder Unbound umwandeln.
Neu
IOC-Konverter
Läuft lokalNeu
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
IOC-Konverter verwenden
Was es bewirkt
Fügen Sie Indicators of Compromise (IOCs) oder beliebigen Text ein. Der Konverter hebt Entschärfungen auf, klassifiziert URLs, Domains, IP-Adressen, E-Mail-Adressen und Hashes, führt Duplikate zusammen und schreibt sie als Bundle nach STIX 2.1, MISP-Event, CSV, Suricata-Regeln oder YARA-Gerüst.
Es läuft vollständig in Ihrem Browser: Es werden keine Ihrer Eingaben hochgeladen.
So verwenden Sie IOC-Konverter
- IOCs oder einen Bericht einfügen. Fügen Sie eine Liste oder beliebigen Text ein. Entschärfte Formen wie hxxps:// und [.] werden in echte Werte zurückverwandelt. Text nach einem Tab oder " # " in einer Zeile wird zum Kommentar der IOCs dieser Zeile.
- Ausgabeformat wählen. Wählen Sie STIX 2.1, MISP event, CSV, Suricata rules oder YARA rule skeleton. Zusätzliche Felder erscheinen für MISP (Titel, Bedrohungsstufe, Analyse, Verteilung), Suricata (erste sid) und YARA (Regelname, Autor).
- Über URL-Hosts entscheiden. Haken Sie Also add the host of each URL an, wenn Sie den Host jeder URL als eigenen Domain- oder IP-Indikator möchten.
- Umwandeln. Drücken Sie Convert oder Strg+Enter. Ein späterer Wechsel des Formats oder eines MISP-Menüs aktualisiert die Ausgabe sofort; nach dem Eintippen eines Titels, einer sid oder eines Regelnamens drücken Sie die Eingabetaste oder Convert.
- Vor dem Export prüfen. Lesen Sie die Zusammenfassung und ein eventuelles Feld Not in this format, und öffnen Sie dann IOCs found, um jeden Wert und Kommentar zu prüfen.
- Kopieren, herunterladen oder weitergeben. Kopieren Sie die Ausgabe, oder laden Sie sie unter dem angezeigten Dateinamen herunter. Send to… öffnet sie im Blocklist Converter oder im Abuse Report Generator.
Beispiel
IOCs einer Drainer-Kampagne mit Kommentaren
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…Ein Bundle nach STIX 2.1 mit sechs Indikatoren, zum Beispiel [url:value = 'https://connect.wallet-verify.example/claim'] und [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f'], mit dem jeweiligen Kommentar als Beschreibung des Indikators.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| Unique IOCs und duplicates merged | Die Anzahl nach der Deduplizierung, mit einem Badge pro Typ wie URL, Domain, IPv4 oder SHA-256. Die Verarbeitung endet bei 50.000 IOCs. |
| Not in this format | Einträge, die das gewählte Format nicht aufnehmen kann, mit dem Grund. Krypto-Adressen haben kein STIX-Objekt, Suricata hat keine Inline-Regel für E-Mail-Adressen oder Hashes, und YARA kennt kein SHA-512. |
| Kommentare | Werden zur STIX-description, zum comment in MISP und CSV, zu einer #-Zeile über den Suricata-Regeln und zu einer //-Notiz in YARA, damit andere wissen, warum ein IOC aufgeführt ist. |
| Echte Werte in der Ausgabe | Exporte enthalten echte, nicht entschärfte URLs und Domains, damit Tools sie abgleichen können. Nur die Tabelle IOCs found zeigt sie entschärft; entschärfen Sie sie, bevor Sie sie in einen Chat oder eine E-Mail einfügen. |
| sid-Bereich für Suricata | Regeln werden ab der ersten sid mit rev:1 nummeriert. Domains erhalten eine dns.query- und eine tls.sni-Regel, die auch Subdomains erfassen; Regeln für https://-URLs greifen nur bei entschlüsseltem Verkehr. |
| YARA-Gerüst | Text-IOCs werden zu Strings mit ascii wide nocase, und MD5, SHA-1 und SHA-256 werden zu Bedingungen des Moduls hash. Benennen Sie die Regel um, und testen Sie sie vor dem Einsatz. |
| Einstellungen für das MISP-Event | Titel, Bedrohungsstufe, Analyse und Verteilung gehen in das Event, das unveröffentlicht exportiert wird. Ethereum-Adressen werden als Text ohne IDS-Flag exportiert. |
| STIX-Kennungen | Jedes IOC ist ein Indikator mit einem STIX-Muster. Bundle- und Indikator-IDs sind zufällige UUIDv4-Werte, daher ergibt jede Umwandlung neue IDs. |
Weitere Beispiele
Suricata-Regeln aus drei IOCs
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example3 eindeutige IOCs und 4 Regeln, sid 9000001 bis 9000004: eine http.host- und http.uri-Regel für login.example.net/verify, eine ip-Regel für 203.0.113.7 sowie dns.query- und tls.sni-Regeln für .wallet-verify.example. Die Kommentare erscheinen als # landing page und # panel.
YARA mit veröffentlichten Hash-Vektoren
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDEine Regel namens PhishDestroy_IOC_ plus dem heutigen Datum mit import "hash", der Ethereum-Adresse als String und einer hash.sha256-Bedingung für den SHA-256 der leeren Datei. Not in this format: 1 × SHA-512: the YARA hash module has no SHA-512.
CSV mit angehaktem Also add the host
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org3 eindeutige IOCs (2 Duplikate zusammengeführt). CSV: type,value,comment, dann url,https://pay.example.org/invoice,fake invoice, domain,pay.example.org,fake invoice und email,billing@example.org mit leerem Kommentar.
Häufig gestellte Fragen
Welche IOC-Typen werden erkannt, und wie werden sie abgebildet?
URLs, Domains, IPv4- und IPv6-Adressen (auch CIDR-Bereiche), E-Mail-Adressen, MD5-, SHA-1-, SHA-256- und SHA-512-Hashes sowie Bitcoin- und Ethereum-Adressen mit Prüfsummenprüfung. STIX erhält Muster für url, domain-name, ipv4-addr, ipv6-addr, email-addr und file:hashes; MISP erhält url, domain oder hostname, ip-dst, email-src und die Hash-Typen.
Was sollte ich vor dem Import des Ergebnisses prüfen?
Die Extraktion aus Freitext kann Dateinamen erfassen, die auf eine echte TLD enden (readme.md, archive.zip), oder Hex-Strings, die keine Datei-Hashes sind; prüfen Sie daher zuerst die IOC-Tabelle. Krypto-Adressen haben kein STIX-Objekt, Suricata-Regeln decken nur Domains, URLs und IPs ab, und das YARA-Modul hash kennt kein SHA-512; diese Einträge werden daher als nicht umgewandelt aufgeführt.
Wird etwas hochgeladen?
Nein. Parsing und Umwandlung laufen in Ihrem Browser, und die Ausgabe wird nur kopiert oder heruntergeladen, wenn Sie das veranlassen.
Wie füge ich einem IOC eine Notiz hinzu?
Schreiben Sie sie in dieselbe Zeile nach einem Tab oder nach Leerzeichen, #, Leerzeichen. Die Notiz gilt für jedes IOC in dieser Zeile. Kommt ein Wert zweimal vor, bleibt die erste Notiz erhalten; eine spätere Notiz wird nur verwendet, wenn die erste Zeile keine hatte.
Sind die Suricata-Regeln einsatzbereit?
Betrachten Sie sie als Ausgangspunkt. Wählen Sie einen sid-Bereich, den Ihr Sensor nicht nutzt, testen Sie die Regeln an aufgezeichnetem Verkehr, und denken Sie daran, dass URL-Regeln für HTTPS-Websites nur dort funktionieren, wo der Verkehr entschlüsselt wird.
Welches Format soll ich wählen?
Verwenden Sie STIX 2.1 oder MISP für Threat-Intelligence-Plattformen, CSV für Tabellen und einfache Feeds, Suricata für Netzwerksensoren und das YARA-Gerüst zum Scannen von Dateien. Für DNS- oder Adblock-Listen senden Sie das Ergebnis an den Blocklist Converter.