Bis zu 500 Domains oder URLs mit der Phishing-Blockliste DestroyList abgleichen.
Netzwerk: DestroyListNeu
Reputations-Links
Läuft lokalNeu
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
Reputations-Links verwenden
Was es bewirkt
Überprüfen Sie eine verdächtige Domain oder URL gleichzeitig an fünf Stellen: urlscan.io-Scans, VirusTotal-Bewertungen, Google Safe Browsing, crt.sh-Zertifikatsverlauf und den PhishDestroy-Domainbericht. Eine IP-Adresse wird bei den beiden Diensten überprüft, die IPs indexieren: urlscan.io und VirusTotal.
Es läuft vollständig in Ihrem Browser: Es werden keine Ihrer Eingaben hochgeladen.
So verwenden Sie Reputations-Links
- Eingeben, was Sie prüfen möchten. Geben Sie eine Domain, eine URL oder eine IPv4- oder IPv6-Adresse ein. Entschärfte Formen wie hxxps:// und [.] werden akzeptiert.
- Links erstellen. Drücken Sie Build links oder die Eingabetaste. Die Seite erstellt nur die Links und kontaktiert keinen Dienst.
- Prüfen, wie die Eingabe verstanden wurde. Die erste Zeile sagt, ob die Eingabe als Domain, URL oder IP gelesen wurde, und nennt die registrierte Domain, wenn sie vom Host abweicht.
- Die benötigten Abfragen öffnen. Jede Zeile hat eine kurze Beschreibung und öffnet sich in einem neuen Tab. Erst dann sieht der jeweilige Dienst den Namen, den Sie nachschlagen.
- Die Antworten zusammen lesen. Ein Zertifikatsverlauf von wenigen Tagen plus ein Scan, der eine Anmeldeseite zeigt, ist ein stärkeres Warnzeichen als jedes für sich allein.
- Weitergeben. Prüfen Sie den Namen mit Send to… in DestroyList Check, sichern Sie ihn mit Archive Link Builder, oder finden Sie mit Abuse Contact Lookup heraus, wem Sie ihn melden.
Beispiel
Eine Subdomain unter einer Länder-Domain
login.example.co.ukLinks for the domain login[.]example[.]co[.]uk (registered domain example[.]co[.]uk). Opening a link sends the name to that service; nothing is sent from this page.
urlscan.io
Earlier scans of the site: screenshots, redirects, requests.
Open urlscan.io
↗
(new tab)
VirusTotal
Engine verdicts, DNS, WHOIS and related URLs for the domain.
Open VirusTotal
↗
(new tab)
Google Safe Browsing
Whether Chrome and other browsers warn about the site.
Open Google Safe Browsing
↗
(new tab)
crt.sh
TLS certificates for the registered domain and its subdomains: when the site was set up and which subdomains exist.
Open crt.sh
↗
(new tab)
PhishDestroy domain report
Our report, if the domain is in the PhishDestroy database.
Open PhishDestroy domain report
↗
(new tab)Erstellt die fünf Links; crt.sh sucht nach %.example.co.uk, der registrierten Domain laut Public Suffix List, sodass jedes Zertifikat für deren Subdomains erscheint, und auch der Link zum PhishDestroy-Bericht verwendet example.co.uk.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| Art der Eingabe | Domain, URL (alles mit Schema, Pfad oder Query) oder IP. Eine URL erhält bei VirusTotal und Safe Browsing Abfragen der exakten URL; eine Domain erhält Domain-Abfragen. |
| Registrierte Domain | Ermittelt mit der Public Suffix List, einschließlich privater Suffixe wie github.io; login.example.github.io gehört also zu example.github.io, nicht zu GitHub. |
| urlscan.io | Frühere Scans des Hosts oder von Seiten, die von einer IP ausgeliefert wurden. Screenshots zeigen, wie die Seite aussah, ohne dass Sie sie öffnen. |
| VirusTotal | Bewertungen der Engines für die Domain, die exakte URL oder die IP. Null Erkennungen bedeuten nur, dass noch keine Engine sie markiert hat. |
| Google Safe Browsing | Der Status im Transparency Report: ob Chrome und andere Browser vor der Website oder URL warnen. |
| crt.sh | Zertifikatsverlauf der registrierten Domain und aller ihrer Subdomains (%.registered-domain). Ein erstes Zertifikat aus den letzten Tagen deutet darauf hin, dass die Website neu ist. |
| PhishDestroy-Domainbericht | Unsere Seite zur registrierten Domain, die Inhalte hat, wenn die Domain in der PhishDestroy-Datenbank steht. |
| IP-Adressen | Für eine IP werden nur urlscan.io und VirusTotal angeboten, weil die anderen Abfragen mit Namen arbeiten. |
Weitere Beispiele
IP-Adresse für Dokumentationszwecke
203.0.113.45Links for the ip 203[.]0[.]113[.]45. Zwei Zeilen: urlscan.io (Scans of pages served from this IP) und VirusTotal (Engine verdicts, passive DNS and related files for the IP).
Entschärfte Login-URL
hxxps://secure.example[.]org/login?next=/accountLinks for the url hxxps://secure[.]example[.]org/login?next=/account (registered domain example[.]org). VirusTotal und Safe Browsing fragen die exakte URL ab, urlscan.io sucht nach secure.example.org, crt.sh nach %.example.org, und der PhishDestroy-Bericht verwendet example.org.
Reine Domain
example.netLinks für die Domain example[.]net. Fünf Zeilen; VirusTotal öffnet die Domain-Seite und crt.sh durchsucht %.example.net.
Häufig gestellte Fragen
Fragt diese Seite diese Dienste ab?
Nein. Sie erstellt nur Links, und nichts wird gesendet, bevor Sie einen öffnen; dann sieht der jeweilige Dienst den Namen. So bleibt eine verdächtige Domain aus den Logs Dritter heraus, bis Sie sich entscheiden, sie nachzuschlagen.
Was sagt mir jeder Dienst?
urlscan.io zeigt frühere Scans mit Screenshots und Weiterleitungen, VirusTotal zeigt Bewertungen von Virenscannern und Blocklisten, Safe Browsing zeigt, ob Browser warnen, crt.sh listet TLS-Zertifikate auf (wann die Website eingerichtet wurde), und der PhishDestroy-Bericht zeigt unsere Belege.
Warum durchsucht crt.sh die gesamte registrierte Domain?
Phishing-Kits liegen oft auf vielen Subdomains einer registrierten Domain. Eine Suche nach %.registered-domain, ermittelt mit der Public Suffix List, listet jedes dafür ausgestellte Zertifikat auf, nicht nur das für den eingegebenen Namen.
Welchen Link sollte ich zuerst öffnen?
Bei einem Link aus einer Nachricht beginnen Sie mit urlscan.io und Safe Browsing: Sie zeigen, wie die Seite aussah und ob Browser sie bereits blockieren. crt.sh sagt Ihnen, wie neu die Website ist, und VirusTotal ergänzt die Bewertungen vieler Engines.
Kann ich eine Website auf kostenlosem Hosting oder einer Cloud-Plattform prüfen?
Ja. Die Public Suffix List behandelt Dienste wie github.io und pages.dev als Suffixe, daher gehört a.b.example.pages.dev zu example.pages.dev. Die crt.sh-Suche und der Link zum PhishDestroy-Bericht verwenden diesen Namen, nicht die Domain der Plattform selbst.
Funktioniert eine IPv6-Adresse?
Ja. Eine Adresse mit Doppelpunkten wird mit oder ohne eckige Klammern akzeptiert, und Sie erhalten dafür Links zu urlscan.io und VirusTotal.