Convierte dominios y URL en listas de bloqueo para hosts, AdGuard, Pi-hole, RPZ, dnsmasq o Unbound.
Nueva
Conversor de IOC
Se ejecuta localmenteNueva
La herramienta en sí está en inglés; en esta página se explica en tu idioma.
Utiliza Conversor de IOC
Para qué sirve
Pega indicadores de compromiso (IOC) o cualquier texto. El conversor restaura y clasifica URL, dominios, direcciones IP, direcciones de correo y hashes, fusiona los duplicados y los escribe como bundle STIX 2.1, evento MISP, CSV, reglas Suricata o esqueleto YARA.
Funciona íntegramente en tu navegador: no se sube nada de lo que introduzcas.
Cómo utilizar Conversor de IOC
- Pega los IOC o un informe. Pega una lista o cualquier texto. Las formas neutralizadas como hxxps:// y [.] se convierten de nuevo en valores reales. El texto que sigue a un tabulador o a « # » en una línea pasa a ser el comentario de los IOC de esa línea.
- Elige el formato de salida. Elige STIX 2.1, MISP event, CSV, Suricata rules o YARA rule skeleton. Aparecen campos adicionales para MISP (título, nivel de amenaza, análisis, distribución), Suricata (primer sid) y YARA (nombre de la regla, autor).
- Decide qué hacer con los hosts de las URL. Marca Also add the host of each URL (Añadir también el host de cada URL) si quieres que el host de cada URL sea su propio indicador de dominio o IP.
- Convierte. Pulsa Convert (Convertir) o Ctrl+Intro. Cambiar después el formato o un menú de MISP actualiza la salida al instante; después de escribir un título, un sid o un nombre de regla, pulsa Intro o Convert.
- Revisa antes de exportar. Lee el resumen y cualquier recuadro Not in this format (No disponible en este formato), y después abre IOCs found (IOC encontrados) para comprobar cada valor y cada comentario.
- Copia, descarga o pasa el resultado. Copia la salida o descárgala con el nombre de archivo indicado. Send to… (Enviar a…) la abre en el Blocklist Converter o en el Abuse Report Generator.
Ejemplo
IOC de una campaña de drainer con comentarios
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…Un bundle STIX 2.1 con seis indicadores, por ejemplo [url:value = 'https://connect.wallet-verify.example/claim'] y [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f'], con cada comentario como descripción del indicador.
Qué comprueba
| Señal | Qué significa |
|---|---|
| IOC únicos y duplicados fusionados | El recuento tras eliminar duplicados, con una etiqueta por tipo como URL, Domain, IPv4 o SHA-256. El procesamiento se detiene en 50 000 IOC. |
| Not in this format | Las entradas que el formato elegido no puede contener, con el motivo. Las direcciones cripto no tienen objeto STIX, Suricata no tiene regla en línea para direcciones de correo ni hashes, y YARA no tiene SHA-512. |
| Comentarios | Pasan a ser la descripción STIX, el comentario de MISP y CSV, una línea # encima de las reglas Suricata y una nota // en YARA, para que otros sepan por qué figura un IOC. |
| Valores activos en la salida | Las exportaciones contienen URL y dominios reales, restaurados, para que las herramientas puedan buscarlos. Solo la tabla IOCs found los muestra neutralizados; neutralízalos antes de pegarlos en un chat o en un correo. |
| Rango de sid de Suricata | Las reglas se numeran a partir del primer sid con rev:1. Los dominios reciben una regla dns.query y otra tls.sni que también coinciden con los subdominios; las reglas de URL https:// solo se activan con tráfico descifrado. |
| Esqueleto YARA | Los IOC de texto pasan a ser cadenas ascii wide nocase, y MD5, SHA-1 y SHA-256 pasan a ser condiciones del módulo hash. Cambia el nombre de la regla y pruébala antes de usarla. |
| Ajustes del evento MISP | El título del evento, el nivel de amenaza, el análisis y la distribución van al evento, que se exporta sin publicar. Las direcciones de Ethereum se exportan como texto sin el indicador IDS. |
| Identificadores STIX | Cada IOC es un indicador con un patrón STIX. Los ID del bundle y de los indicadores son valores UUIDv4 aleatorios, así que cada conversión da ID nuevos. |
Más ejemplos
Reglas Suricata a partir de tres IOC
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example3 IOC únicos y 4 reglas, del sid 9000001 al 9000004: una regla http.host y http.uri para login.example.net/verify, una regla ip para 203.0.113.7, y reglas dns.query y tls.sni para .wallet-verify.example. Los comentarios aparecen como # landing page y # panel.
YARA con vectores de hash publicados
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDUna regla llamada PhishDestroy_IOC_ más la fecha de hoy con import "hash", la dirección de Ethereum como cadena y una condición hash.sha256 para el SHA-256 del archivo vacío. Not in this format: 1 × SHA-512: el módulo hash de YARA no tiene SHA-512.
CSV con Also add the host marcado
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org3 IOC únicos (2 duplicados fusionados). CSV: type,value,comment, después url,https://pay.example.org/invoice,fake invoice, domain,pay.example.org,fake invoice y email,billing@example.org con el comentario vacío.
Preguntas frecuentes
¿Qué tipos de IOC se reconocen y cómo se asignan?
URL, dominios, direcciones IPv4 e IPv6 (también rangos CIDR), direcciones de correo, hashes MD5, SHA-1, SHA-256 y SHA-512, y direcciones de Bitcoin y Ethereum con comprobación de checksum. STIX recibe patrones url, domain-name, ipv4-addr, ipv6-addr, email-addr y file:hashes; MISP recibe url, domain o hostname, ip-dst, email-src y los tipos de hash.
¿Qué debo revisar antes de importar el resultado?
La extracción de texto libre puede captar nombres de archivo que terminan en un TLD real (readme.md, archive.zip) o cadenas hexadecimales que no son hashes de archivos, así que revisa antes la tabla de IOC. Las direcciones cripto no tienen objeto STIX, las reglas Suricata solo cubren dominios, URL e IP, y el módulo hash de YARA no tiene SHA-512, así que esas entradas se listan como no convertidas.
¿Se sube algo?
No. El análisis y la conversión se ejecutan en tu navegador, y el resultado solo se copia o se descarga cuando lo pides.
¿Cómo añado una nota a un IOC?
Ponla en la misma línea después de un tabulador o después de un espacio, #, espacio. La nota se aplica a todos los IOC de esa línea. Cuando un valor aparece dos veces, se conserva la primera nota; una nota posterior solo se usa si la primera línea no tenía ninguna.
¿Las reglas Suricata están listas para desplegar?
Tómalas como punto de partida. Elige un rango de sid que tu sensor no use, prueba las reglas con tráfico grabado y recuerda que las reglas de URL para sitios HTTPS solo funcionan donde el tráfico se descifra.
¿Qué formato debo elegir?
Usa STIX 2.1 o MISP para plataformas de inteligencia de amenazas, CSV para hojas de cálculo y fuentes sencillas, Suricata para sensores de red y el esqueleto YARA para analizar archivos. Para listas de bloqueo DNS o de anuncios, envía el resultado al Blocklist Converter.