Comprueba hasta 500 dominios o URL en la lista de bloqueo de phishing DestroyList.
Red: DestroyListNueva
Enlaces de reputación
Se ejecuta localmenteNueva
La herramienta en sí está en inglés; en esta página se explica en tu idioma.
Utiliza Enlaces de reputación
Para qué sirve
Comprueba un dominio o una URL sospechosa en cinco sitios a la vez: análisis de urlscan.io, resultados de VirusTotal, Navegación segura de Google, historial de certificados de crt.sh e informe de dominios de PhishDestroy. En el caso de una dirección IP, se consultan los dos servicios que indexan direcciones IP: urlscan.io y VirusTotal.
Funciona íntegramente en tu navegador: no se sube nada de lo que introduzcas.
Cómo utilizar Enlaces de reputación
- Introduce lo que quieres comprobar. Escribe o pega un dominio, una URL o una dirección IPv4 o IPv6. Se aceptan formas neutralizadas como hxxps:// y [.].
- Crea los enlaces. Pulsa Build links (Crear enlaces) o Intro. La página solo crea los enlaces y no se pone en contacto con ningún servicio.
- Comprueba cómo se interpretó. La primera línea dice si la entrada se leyó como dominio, URL o IP, e indica el dominio registrado cuando difiere del host.
- Abre las consultas que necesites. Cada fila tiene una breve descripción y se abre en una pestaña nueva. Solo entonces ese servicio ve el nombre que consultas.
- Interpreta las respuestas en conjunto. Unos pocos días de historial de certificados más un análisis que muestra una página de inicio de sesión son una señal de alerta más fuerte que cualquiera de los dos por separado.
- Pásalo a otra herramienta. Usa Send to… (Enviar a…) para comprobar el nombre en DestroyList Check, guardarlo con Archive Link Builder o averiguar a quién denunciarlo con Abuse Contact Lookup.
Ejemplo
Un subdominio bajo un dominio de código de país
login.example.co.ukLinks for the domain login[.]example[.]co[.]uk (registered domain example[.]co[.]uk). Opening a link sends the name to that service; nothing is sent from this page.
urlscan.io
Earlier scans of the site: screenshots, redirects, requests.
Open urlscan.io
↗
(new tab)
VirusTotal
Engine verdicts, DNS, WHOIS and related URLs for the domain.
Open VirusTotal
↗
(new tab)
Google Safe Browsing
Whether Chrome and other browsers warn about the site.
Open Google Safe Browsing
↗
(new tab)
crt.sh
TLS certificates for the registered domain and its subdomains: when the site was set up and which subdomains exist.
Open crt.sh
↗
(new tab)
PhishDestroy domain report
Our report, if the domain is in the PhishDestroy database.
Open PhishDestroy domain report
↗
(new tab)Crea los cinco enlaces; crt.sh busca %.example.co.uk, el dominio registrado según la Public Suffix List, para que aparezcan todos los certificados de sus subdominios, y el enlace al informe de PhishDestroy también usa example.co.uk.
Qué comprueba
| Señal | Qué significa |
|---|---|
| Tipo de entrada | Dominio, URL (cualquier cosa con esquema, ruta o consulta) o IP. Una URL recibe consultas de la URL exacta en VirusTotal y Safe Browsing; un dominio recibe consultas de dominio. |
| Dominio registrado | Se determina con la Public Suffix List, incluidos los sufijos privados como github.io, de modo que login.example.github.io pertenece a example.github.io y no a GitHub. |
| urlscan.io | Análisis anteriores del host, o de páginas servidas desde una IP. Las capturas de pantalla muestran cómo era la página sin que tengas que abrirla. |
| VirusTotal | Veredictos de los motores para el dominio, la URL exacta o la IP. Cero detecciones solo significa que ningún motor lo ha marcado todavía. |
| Google Safe Browsing | El estado en el Transparency Report: si Chrome y otros navegadores avisan sobre el sitio o la URL. |
| crt.sh | Historial de certificados del dominio registrado y de todos sus subdominios (%.dominio-registrado). Si el primer certificado data de los últimos días, significa que el sitio web es nuevo. |
| Informe de dominio de PhishDestroy | Nuestra página para el dominio registrado, que tiene contenido si el dominio está en la base de datos de PhishDestroy. |
| Direcciones IP | Para una IP solo se ofrecen urlscan.io y VirusTotal, porque las demás consultas funcionan con nombres. |
Más ejemplos
Dirección IP de documentación
203.0.113.45Links for the ip 203[.]0[.]113[.]45. Dos filas: urlscan.io (análisis de páginas servidas desde esta IP) y VirusTotal (veredictos de los motores, DNS pasivo y archivos relacionados con la IP).
URL de inicio de sesión neutralizada
hxxps://secure.example[.]org/login?next=/accountLinks for the url hxxps://secure[.]example[.]org/login?next=/account (registered domain example[.]org). VirusTotal y Safe Browsing consultan la URL exacta, urlscan.io busca secure.example.org, crt.sh busca %.example.org y el informe de PhishDestroy usa example.org.
Dominio sin más
example.netEnlaces para el dominio example[.]net. Cinco filas; VirusTotal abre la página del dominio y crt.sh busca %.example.net.
Preguntas frecuentes
¿Esta página consulta esos servicios?
No. Solo crea enlaces, y no se envía nada hasta que abres uno; entonces ese servicio ve el nombre. Así, un dominio sospechoso no aparece en registros de terceros hasta que decides consultarlo.
¿Qué me dice cada servicio?
urlscan.io muestra análisis anteriores con capturas de pantalla y redirecciones, VirusTotal muestra los veredictos de antivirus y listas de bloqueo, Safe Browsing muestra si los navegadores avisan, crt.sh lista los certificados TLS (cuándo se montó el sitio) y el informe de PhishDestroy muestra nuestras pruebas.
¿Por qué crt.sh busca en todo el dominio registrado?
Los kits de phishing suelen estar en muchos subdominios de un mismo dominio registrado. Buscar %.dominio-registrado, determinado con la Public Suffix List, lista todos los certificados emitidos para ellos, no solo el nombre que introdujiste.
¿Qué enlace debo abrir primero?
Para un enlace recibido en un mensaje, empieza por urlscan.io y Safe Browsing: muestran cómo era la página y si los navegadores ya la bloquean. crt.sh te dice lo nuevo que es el sitio, y VirusTotal añade los veredictos de muchos motores.
¿Puedo comprobar un sitio en un hosting gratuito o en una plataforma en la nube?
Sí. La Public Suffix List trata servicios como github.io y pages.dev como sufijos, así que a.b.example.pages.dev pertenece a example.pages.dev. La búsqueda de crt.sh y el enlace al informe de PhishDestroy usan ese nombre, no el dominio propio de la plataforma.
¿Funciona una dirección IPv6?
Sí. Se acepta una dirección con dos puntos con o sin corchetes, y obtienes enlaces de urlscan.io y VirusTotal para ella.