Eine IOC-Liste in STIX 2.1, MISP-JSON, CSV, Suricata-Regeln oder ein YARA-Gerüst umwandeln.
Neu
URL-Defanger und IOC-Extraktor
Läuft lokal
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
URL-Defanger und IOC-Extraktor verwenden
Was es bewirkt
Entfernen Sie URLs, IP-Adressen und E-Mail-Adressen aus den Links, damit diese ohne versehentliche Klicks weitergegeben werden können, fügen Sie sie wieder ein oder extrahieren Sie die HTTP(S)- und FTP-Links, IPv4-Adressen und E-Mail-Adressen aus einem Textblock auf der Registerkarte „IOC Extractor“.
Es läuft vollständig in Ihrem Browser: Es werden keine Ihrer Eingaben hochgeladen.
So verwenden Sie URL-Defanger und IOC-Extraktor
- Tab wählen. Verwenden Sie Defang & Refang für einzelne Einträge, die Sie bereits haben. Verwenden Sie IOC Extractor, um Einträge aus einem längeren Text wie einer E-Mail, einem Chat oder einem Log herauszuziehen.
- Eingabe einfügen. Fügen Sie in Defang & Refang URLs, IP-Adressen oder E-Mail-Adressen ein, eine pro Zeile. Fügen Sie in IOC Extractor den ganzen Text ein.
- Entschärfen oder zurückwandeln. Drücken Sie Defang, um den Text unklickbar zu machen, oder Refang, um einen entschärften Eintrag wieder in einen normalen umzuwandeln. Copy übernimmt die Ausgabe.
- Extrahieren und prüfen. Drücken Sie in IOC Extractor Extract & Defang IOCs. URLs, IP-Adressen und E-Mails erscheinen in drei Gruppen, jeder Eintrag entschärft und angehakt; entfernen Sie den Haken bei falschen Treffern.
- Kopieren oder weitergeben. Copy Selected IOCs kopiert die angehakten Einträge, einen pro Zeile. Send to… übergibt die Ausgabe von Defang & Refang an IOC Converter, Blocklist Converter oder Abuse Report Generator.
Beispiel
Drei IOCs, einer pro Zeile
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang liefert hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 und support[at]example[.]net in getrennten Zeilen; Refang wandelt sie zurück.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| hxxp://, hxxps://, fxp:// | Das Schema wird ersetzt, damit Chat-Apps und Mailprogramme den Text nicht in einen aktiven Link verwandeln. |
| [.] für jeden Punkt | Punkte im Host, im Pfad und in Dateinamen werden alle geändert, aus login.php wird also login[.]php. Refang stellt sie wieder her. |
| [at] für jedes @ | Gilt für E-Mail-Adressen und für jedes @ in einer URL. Refang akzeptiert [at] und (at). |
| Andere Defang-Stile | Refang akzeptiert auch [@], (at), (.), {.}, [dot], (dot) und [:], sodass Text, der von anderen Tools bereinigt wurde, in einem Schritt wieder zurückkonvertiert werden kann. |
| Doppeltes Entschärfen | Teile, die bereits entgratet sind, bleiben so, wie sie sind; ein zweites Entgraten ändert also nichts. |
| Extracted URLs (n) | Text, der mit http://, https:// oder ftp:// beginnt, bis zu einem Leerzeichen, einer Klammer oder einem Anführungszeichen. Ein Punkt oder Komma am Satzende bleibt hängen; prüfen Sie daher das Ende jeder URL. |
| Extracted IP Addresses (n) | Beliebige vier Gruppen aus 1 bis 3 Ziffern. Versionsnummern und Werte über 255 werden ebenfalls erfasst, und eine IP in einer URL wird hier noch einmal aufgeführt. |
| Extracted Emails (n) | Adressen, die auf einen Punkt und mindestens zwei Buchstaben enden. Jede Gruppe führt jeden Eintrag nur einmal auf. |
| No IOCs (URLs, IPs, or Emails) found in the text. | Nichts hat gepasst. Bloße Domains wie example.org und bereits entschärfte Links werden nicht extrahiert. |
Weitere Beispiele
Login-Seite auf einer bloßen IP
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
Zwei Schreibweisen zurückwandeln
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
Extraktion aus einer Paket-SMS
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URLs (1): hxxps://parcel-fee[.]example/pay?ref=88[.] mit dem angehängten Punkt. IP Addresses (2): 203[.]0[.]113[.]45 und 10[.]2[.]3[.]4. Emails (1): help[at]parcel-fee[.]example. example.org/track wird nicht gefunden.
Häufig gestellte Fragen
Was genau ändert Defang?
http://, https:// und ftp:// werden zu hxxp://, hxxps:// und fxp://, jeder Punkt wird zu [.] und jedes @ zu [at], einschließlich der Punkte in Pfaden und Dateinamen; bereits entschärfte Teile bleiben unverändert, sodass eine doppelte Entschärfung keine Auswirkungen hat. „Refang“ kehrt diesen Vorgang um und akzeptiert zudem [@], (at), (.), {.}, [dot], (dot) und [:].
Was findet der IOC Extractor, und was übersieht er?
Links, die mit http://, https:// oder ftp:// beginnen, Zahlen, die wie IPv4-Adressen aussehen, und E-Mail-Adressen. Bloße Domains ohne Schema und bereits entschärfte Links werden nicht extrahiert, das IP-Muster trifft auch Versionsangaben wie 1.2.3.4, und Satzzeichen am Ende können an einer URL hängen bleiben; prüfen Sie die Liste daher vor dem Kopieren.
Wird mein Text irgendwohin gesendet?
Nein. Entschärfen, Zurückwandeln und Extrahieren sind Textersetzungen in Ihrem Browser; nichts wird hochgeladen, und kein Link wird geöffnet.
Wird ein entschärfter Link dadurch sicher zu öffnen?
Nein. Entschärfen ändert nur, wie der Text aussieht. Zurückgewandelt führt der Link zur selben Seite; öffnen Sie ihn daher nur in einem isolierten Browser oder einem Scanner.
Wann sollte ich vor dem Senden zurückwandeln?
Entschärfen Sie Text, den Menschen lesen, in Chats, Tickets oder Beiträgen. Wandeln Sie ihn zurück, wenn Sie ihn in ein Formular, einen Scanner oder eine Blockliste einfügen, die normale URLs erwarten.
Verarbeitet das Tool IPv6-Adressen?
Nur teilweise. Der Extraktor sucht nur nach IPv4-Adressen. Defang ändert eine IPv6-Adresse nur innerhalb einer URL, wo das Schema zu hxxp oder hxxps wird; die Doppelpunkte bleiben, wie sie sind.
Warum entschärfen andere PhishDestroy-Tools anders?
Tools wie der „Archive Link Builder“ ersetzen lediglich Punkte zwischen Buchstaben oder Ziffern und schreiben „@“ als „[@]“. Dieses Tool ersetzt jeden Punkt und schreibt „[at]“. Refang akzeptiert beide Formen, sodass Links aus beiden Tools wieder zurückkonvertiert werden können.