Convierte una lista de IOC en STIX 2.1, JSON de MISP, CSV, reglas Suricata o un esqueleto YARA.
Nueva
Neutralizador de URL y extractor de IOC
Se ejecuta localmente
La herramienta en sí está en inglés; en esta página se explica en tu idioma.
Utiliza Neutralizador de URL y extractor de IOC
Para qué sirve
Elimina los enlaces de las URL, las direcciones IP y las direcciones de correo electrónico para que puedan compartirse sin que se produzcan clics accidentales; vuelve a añadirles los enlaces, o extrae los enlaces http(s) y ftp, las direcciones IPv4 y las direcciones de correo electrónico de un bloque de texto en la pestaña «IOC Extractor».
Funciona íntegramente en tu navegador: no se sube nada de lo que introduzcas.
Cómo utilizar Neutralizador de URL y extractor de IOC
- Elige la pestaña. Usa Defang & Refang para elementos sueltos que ya tienes. Usa IOC Extractor para sacar elementos de un texto más largo, como un correo, un chat o un registro.
- Pega la entrada. En Defang & Refang, pega URL, direcciones IP o direcciones de correo, una por línea. En IOC Extractor, pega el texto completo.
- Neutraliza o restaura. Pulsa Defang (Neutralizar) para que el texto no se pueda pulsar, o Refang (Restaurar) para devolver un elemento neutralizado a su forma normal. Copy (Copiar) copia la salida.
- Extrae y revisa. En IOC Extractor pulsa Extract & Defang IOCs (Extraer y neutralizar IOC). Las URL, las direcciones IP y los correos aparecen en tres grupos, cada elemento neutralizado y marcado; desmarca las coincidencias falsas.
- Copia o pasa el resultado. Copy Selected IOCs (Copiar IOC seleccionados) copia los elementos marcados, uno por línea. Send to… (Enviar a…) pasa la salida de Defang & Refang a IOC Converter, Blocklist Converter o Abuse Report Generator.
Ejemplo
Tres IOC, uno por línea
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang devuelve hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 y support[at]example[.]net en líneas separadas; Refang los devuelve a su forma original.
Qué comprueba
| Señal | Qué significa |
|---|---|
| hxxp://, hxxps://, fxp:// | Se sustituye el esquema para que las aplicaciones de chat y los clientes de correo no conviertan el texto en un enlace activo. |
| [.] en cada punto | Cambian todos los puntos del host, la ruta y los nombres de archivo, así que login.php pasa a ser login[.]php. Refang los restaura. |
| [at] en cada @ | Se aplica a las direcciones de correo y a cualquier @ dentro de una URL. Refang acepta [at] y (at). |
| Otros estilos de «defang» | Refang también admite [@], (arroba), (.), {.}, [punto], (punto) y [:], por lo que el texto procesado por otras herramientas se vuelve a convertir en un solo paso. |
| Neutralizar dos veces | Las piezas a las que ya se les ha quitado el filo se quedan tal y como están, por lo que quitarles el filo dos veces no cambia nada. |
| Extracted URLs (n) | Texto que empieza por http://, https:// o ftp://, hasta un espacio, un corchete o unas comillas. Un punto o una coma al final de una frase quedan pegados, así que revisa el final de cada URL. |
| Extracted IP Addresses (n) | Cualquier conjunto de cuatro grupos de 1 a 3 dígitos. También coinciden los números de versión y los valores mayores de 255, y una IP dentro de una URL se lista otra vez aquí. |
| Extracted Emails (n) | Direcciones que terminan en un punto y al menos dos letras. Cada grupo lista cada elemento una sola vez. |
| No IOCs (URLs, IPs, or Emails) found in the text. | No hubo ninguna coincidencia (no se encontraron IOC en el texto). No se extraen los dominios sin más, como example.org, ni los enlaces ya neutralizados. |
Más ejemplos
Página de inicio de sesión en una IP sin dominio
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
Restaurar dos estilos
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
Extraer de un SMS de paquetería
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URLs (1): hxxps://parcel-fee[.]example/pay?ref=88[.] con el punto final pegado. IP Addresses (2): 203[.]0[.]113[.]45 y 10[.]2[.]3[.]4. Emails (1): help[at]parcel-fee[.]example. example.org/track no se encuentra.
Preguntas frecuentes
¿Qué cambia exactamente Defang?
http://, https:// y ftp:// se convierten en hxxp://, hxxps:// y fxp://, cada punto se convierte en [.] y cada @ se convierte en [at], incluidos los puntos en las rutas y los nombres de archivo; las partes que ya han sido neutralizadas permanecen tal cual, por lo que neutralizarlas dos veces no cambia nada. «Refang» invierte este proceso y también acepta [@], (at), (.), {.}, [dot], (dot) y [:].
¿Qué encuentra el IOC Extractor y qué se le escapa?
Enlaces que empiezan por http://, https:// o ftp://, números con aspecto de IPv4 y direcciones de correo. No se extraen los dominios sin esquema ni los enlaces ya neutralizados, el patrón de IP también coincide con cadenas de versión como 1.2.3.4 y la puntuación final puede quedar pegada a una URL, así que revisa la lista antes de copiarla.
¿Se envía mi texto a algún sitio?
No. Neutralizar, restaurar y extraer son sustituciones de texto en tu navegador; no se sube nada y no se abre ningún enlace.
¿Un enlace neutralizado se puede abrir sin riesgo?
No. Neutralizar solo cambia el aspecto del texto. Una vez restaurado, el enlace lleva a la misma página, así que ábrelo solo en un navegador aislado o en un escáner.
¿Cuándo debo restaurar antes de enviar?
Neutraliza el texto que van a leer personas, en chats, tickets o publicaciones. Restáuralo cuando lo pegues en un formulario, un escáner o una lista de bloqueo que espera URL normales.
¿Admite direcciones IPv6?
Solo en parte. El extractor busca únicamente direcciones IPv4. Defang solo cambia una dirección IPv6 dentro de una URL, donde el esquema pasa a ser hxxp o hxxps; los dos puntos se quedan como están.
¿Por qué otras herramientas de PhishDestroy neutralizan de otra forma?
Herramientas como Archive Link Builder sustituyen únicamente los puntos que hay entre letras o números y escriben @ como [@]. Esta herramienta sustituye todos los puntos y escribe [at]. Refang admite ambas formas, por lo que los enlaces generados por cualquiera de las dos herramientas se convierten de nuevo.