مخاطبان abuse رجیسترار و شبکه را برای یک دامنه یا IP از RDAP پیدا کنید.
شبکه: RDAP + DoHجدید
سازندهٔ گزارش سوءاستفاده (abuse)
اجرای محلیجدید
خود ابزار به زبان انگلیسی است؛ این صفحه آن را به زبان شما توضیح می‌دهد.
از سازندهٔ گزارش سوءاستفاده (abuse) استفاده کنید
کارکرد
URLها، آدرس‌های IP، تاریخ‌ها و شواهد یک سایت فیشینگ یا کلاهبرداری را وارد کنید و یک ایمیل abuse آمادهٔ ارسال برای رجیسترار، ارائه‌دهندهٔ میزبانی یا CDN آن بگیرید. هش فایل‌ها در مرورگر شما محاسبه میشود و هیچ چیز به جایی فرستاده نمی‌شود.
این کاملاً در مرورگر شما اجرا میشود: هیچ‌یک از اطلاعاتی که وارد میکنید بارگذاری نمی‌شود.
چگونه از سازندهٔ گزارش سوءاستفاده (abuse) استفاده کنیم
- نوع گیرنده و نوع حمله را انتخاب کنید. در Report to (گزارش به)، یکی از Registrar، Hosting provider یا CDN / reverse proxy را انتخاب کنید. در Attack type (نوع حمله)، نزدیک‌ترین گزینه را از میان شش گزینه، مانند Phishing یا Crypto wallet drainer، برگزینید.
- آنچه دیده‌اید را وارد کنید. URLها را هر کدام در یک خط بچسبانید؛ شکل‌های خنثی‌شده (defanged) مانند hxxps:// و [.] دوباره به URL واقعی تبدیل میشوند. اگر Domain را خالی بگذارید، دامنهٔ قابل ثبتِ نخستین URL به کار می‌رود؛ اگر آدرس‌های IP را می‌دانید، آن‌ها را هم اضافه کنید.
- زمان‌ها را تنظیم کنید. فیلدهای First seen (نخستین مشاهده) و Last seen (آخرین مشاهده) را پر کنید؛ این زمان‌ها به‌عنوان UTC خوانده میشوند و زیر هر فیلد به شکل ISO نمایش داده میشوند. دکمهٔ Now (اکنون) مقدار Last seen را روی زمان فعلی می‌گذارد.
- شواهد را اضافه کنید. هش‌ها را بچسبانید، یا فایل‌ها را رها کنید تا SHA-256 آن‌ها در مرورگر شما محاسبه شود. لینک‌های اسکن و توضیح کوتاهی دربارهٔ آنچه صفحه درخواست میکند اضافه کنید.
- گزارش را بسازید و اصلاح کنید. دکمهٔ Generate report (ساخت گزارش) را بزنید. موارد قرمز Fix before sending (پیش از ارسال اصلاح کنید) جلوی گزارش را می‌گیرند؛ موارد زرد Check (بررسی) فقط توصیه‌اند. پس از نخستین گزارش، متن همزمان با ویرایش شما به‌روز میشود.
- آن را ارسال کنید. موضوع و متن را کپی کنید، در برنامهٔ ایمیل خود باز کنید، یا فایل .txt یا .json را دانلود کنید. برای Cloudflare، متن را در فرم abuse آن بچسبانید.
مثال
درینر کیف پول روی یک دامنهٔ مشابه
hxxps://connect.wallet-verify[.]example/claimFind the registrar's abuse address with Abuse Contact Lookup. Section 3.18 of the RAA binds ICANN-accredited registrars of gTLDs (.com, .net, .xyz and the other generic TLDs); for country-code domains the report cites the registry's policy instead.
Subject
Abuse report: crypto wallet drainer domain wallet-verify[.]example (impersonating Example Wallet)
Body
Hello abuse team,
I am reporting the domain name wallet-verify.example, registered through your company. It is used for a crypto wallet drainer: a fake site that asks visitors to connect a wallet and sign transactions that send their funds to the attacker, impersonating Example Wallet.
Details
Attack type: Crypto wallet drainer
Brand: Example Wallet
Domain: wallet-verify.example
URLs: https://connect.wallet-verify.example/claim
IP addresses: 192.0.2.10
First seen: 2026-10-19T08:00:00Z (UTC)
Last seen: 2026-10-20T09:30:00Z (UTC)
Evidence
https://urlscan.io/result/00000000-0000-4000-8000-000000000000/
Description
The page copies the Example Wallet site and asks visitors to connect a wallet and sign a token approval for all their assets.
Request
Section 3.18 of the ICANN Registrar Accreditation Agreement requires accredited registrars to investigate abuse reports and, when there is actionable evidence that a domain name is used for DNS abuse such as phishing or malware, to take prompt mitigation action. Please suspend this domain name (for example with the clientHold status) so that it stops resolving, and lock it against transfer while you investigate.
Please confirm that
…گزارشی به رجیسترار برای wallet-verify.example: موضوع شامل دامنهٔ خنثی‌شده است و متن شامل URL واقعی، IP 192.0.2.10، زمان نخستین و آخرین مشاهده به UTC، یک لینک urlscan.io و درخواست تعلیق با استناد به بند 3.18 از ICANN RAA.
آنچه بررسی میکند
| سیگنال | معنای آن |
|---|---|
| Report to (گزارش به) | گزینهٔ Registrar تعلیق (برای مثال clientHold) و قفل انتقال را درخواست میکند. Hosting provider حذف محتوا و نگهداری لاگ‌ها را می‌خواهد. CDN معرفی میزبان اصلی، بازارسال گزارش و صفحهٔ هشدار را می‌خواهد. |
| Attack type (نوع حمله) | گزارشهای فیشینگ، درینر و بدافزار به رجیسترار gTLD به سوءاستفادهٔ DNS طبق بند 3.18 از RAA استناد می‌کنند و خواستار اقدام سریع برای مهار آن میشوند. برای سرمایه‌گذاری جعلی، کلاهبرداری پشتیبانی فنی و سایر کلاهبرداری‌ها، متن فقط می‌گوید رجیسترارها باید بررسی کنند و پاسخ مناسب بدهند. |
| دامنهٔ برگرفته از URLها | دامنهٔ قابل ثبتِ نخستین URLای که نام میزبان دارد، که با Public Suffix List پیدا میشود؛ بنابراین connect.wallet-verify.example به wallet-verify.example تبدیل میشود. URLهایی که فقط یک آدرس IP دارند دامنه‌ای به دست نمی‌دهند. |
| Fix before sending (پیش از ارسال اصلاح کنید) | برای مثال URLهای بدون http://، https:// یا ftp://، آدرس‌های IP یا هش‌های نامعتبر، تاریخ‌های نادرست، Last seen پیش از First seen، آدرس‌های ایمیل نامعتبر، یا لینک‌های شواهدی که لینک وب نیستند. |
| هشدارهای Check | یک TLD کد کشوری (RAA در مورد آن صدق نمی‌کند)، دامنه‌ای روی یک پلتفرم اشتراکی (از الگوی میزبانی استفاده کنید)، تاریخی در آینده، گزارش رجیسترار بدون دامنه، یا نبود هیچ شاهدی تا این لحظه. |
| تنظیم خنثی‌سازی (Defang) | به‌طور پیش‌فرض فقط موضوع خنثی میشود تا فیلترهای ایمیل گزارش شما را فیشینگ تلقی نکنند و در عین حال واحد رسیدگی به abuse لینک‌های واقعی را دریافت کند. می‌توانید شاخص‌های داخل متن را هم خنثی کنید، یا هیچ چیز را خنثی نکنید. |
| هش‌های شواهد | MD5، SHA-1، SHA-256 یا SHA-512 بهصورت hex، هر کدام در یک خط و با نام فایل اختیاری. فایلهایی که رها میکنید، هر کدام تا 50 MB، با SHA-256 هش میشوند و هرگز بارگذاری نمی‌شوند. |
| لینک mailto طولانی | اگر لینک ایمیل بیش از ۲۰۰۰ نویسه باشد، یادداشتی هشدار می‌دهد که برخی برنامه‌های ایمیل آن را کوتاه می‌کنند. بهجای آن از Copy (کپی) استفاده کنید. |
نمونه‌های بیشتر
گزارش میزبانی برای صفحه‌ای که فقط روی یک IP است
Report to: Hosting provider · Attack: Phishing · URL: hxxp://198.51.100.23/secure/login.php · IP: 198.51.100.23 · Brand: Example Bank · First seen: 2026-10-21 14:05موضوع: Abuse report: phishing content at hxxp://198[.]51[.]100[.]23/secure/login[.]php on 198[.]51[.]100[.]23 (impersonating Example Bank). متن، URL واقعی، IP و First seen 2026-10-21T14:05:00Z (UTC) را فهرست میکند و حذف محتوا و نگهداری لاگ‌ها را درخواست میکند. یک کادر Check یادآوری میکند که هنوز شاهدی اضافه نشده است.
گزارش CDN برای یک به‌روزرسانی جعلی
Report to: CDN / reverse proxy · Attack: Malware delivery · URL: https://update.example.org/chrome-update.exe · Description: fake browser updateموضوع: Abuse report: malware delivery site example[.]org served through your network. متن از ارائه‌دهنده می‌خواهد ارائه‌دهندهٔ میزبانی را معرفی کند، گزارش را بازارسال کند و صفحهٔ هشدار نمایش دهد، و اطلاعات تماس شما را با دیگران به اشتراک نگذارد.
ورودی‌ای که باید اصلاح شود
Report to: Registrar · URL: login.example.net/verify · First seen: 2026-10-21 10:00 · Last seen: 2026-10-20 10:00 · Hash: 12345 kit.zipگزارشی ساخته نمی‌شود. فهرست Fix before sending شامل این موارد است: Not a URL (it must start with http://, https:// or ftp://)، Not a hash، و Last seen is earlier than first seen. یک کادر Check این مورد را اضافه میکند: No evidence yet.
سوالات متداول
سه الگو چه چیزی درخواست می‌کنند؟
الگوی رجیسترار تعلیق دامنه (برای مثال clientHold) و قفل انتقال را درخواست میکند و برای TLDهای عمومی به بند 3.18 از ICANN Registrar Accreditation Agreement استناد میکند. الگوی میزبانی حذف محتوا و نگهداری لاگ‌ها را درخواست میکند، و الگوی CDN از ارائه‌دهنده می‌خواهد میزبان اصلی (origin) را معرفی کند، گزارش را بازارسال کند و هشدار فیشینگ نمایش دهد.
آیا این ابزار بررسی میکند که سایت واقعاً مخرب است؟
خیر. فقط آنچه را وارد میکنید قالببندی میکند و تنها شکل ورودی را بررسی میکند: نحو URL، آدرس IP، هش و تاریخ، اینکه آخرین مشاهده بعد از نخستین مشاهده باشد، و وجود دامنه برای گزارشهای رجیسترار. کافی بودن شواهد به تشخیص شما بستگی دارد، و ارجاع به RAA فقط دربارهٔ رجیسترارهای دارای اعتبارنامهٔ ICANN برای TLDهای عمومی صدق میکند.
آیا گزارش یا اطلاعات تماس من به جایی ارسال میشود؟
خیر. گزارش در مرورگر شما ساخته میشود و فایلهایی که رها میکنید بدون بارگذاری و بهصورت محلی هش میشوند. گزارش فقط وقتی از صفحه خارج میشود که آن را کپی کنید، در برنامهٔ ایمیل باز کنید یا دانلود کنید.
به رجیسترار گزارش دهم، به میزبان یا به CDN؟
رجیسترار میتواند جلوی تبدیل شدن دامنه به آدرس IP را بگیرد؛ میزبان میتواند صفحه را حذف کند؛ CDN میتواند میزبان واقعی را آشکار کند و هشدار نمایش دهد. ارسال گزارشهای جداگانه به رجیسترار و به شبکهٔ پشت IP رایج است. Abuse Contact Lookup هر دو آدرس را پیدا میکند.
چگونه سایتی را که پشت Cloudflare است گزارش دهم؟
الگوی CDN را انتخاب کنید. Cloudflare گزارشهای abuse را از طریق فرم خود در abuse.cloudflare.com با دستهٔ Phishing & Malware میپذیرد، پس بهجای ارسال ایمیل، متن تولیدشده را در آنجا بچسبانید.
در فایل JSON دانلودشده چه چیزی هست؟
زمان ساخت، الگو، نوع حمله، برند، دامنه، URLها، IPها، نخستین و آخرین مشاهده، لینک‌ها و هش‌های شواهد، توضیح، گیرنده، نام و ایمیل شما در صورتی که وارد کرده باشید، و موضوع و متن. این فایل برای پیگیری اینکه چه چیزی را و چه زمانی گزارش داده‌اید مفید است.