Transformez domaines et URL en listes de blocage hosts, AdGuard, Pi-hole, RPZ, dnsmasq ou Unbound.
Nouveau
Convertisseur d'IOC
Exécution localeNouveau
L'outil lui-même est en anglais ; cette page vous l'explique dans votre langue.
Utilisez Convertisseur d'IOC
Fonctionnalités
Collez des indicateurs de compromission ou n'importe quel texte. Le convertisseur rétablit les valeurs désamorcées, classe les URL, domaines, adresses IP, adresses e-mail et empreintes, fusionne les doublons et les écrit sous forme de bundle STIX 2.1, d'événement MISP, de CSV, de règles Suricata ou de squelette YARA.
Tout se passe entièrement dans votre navigateur : aucune des données que vous saisissez n'est transmise.
Comment utiliser Convertisseur d'IOC
- Collez des IOC ou un rapport. Collez une liste ou n'importe quel texte. Les formes désamorcées comme hxxps:// et [.] sont reconverties en valeurs réelles. Le texte situé après une tabulation ou après " # " sur une ligne devient le commentaire des IOC de cette ligne.
- Choisissez le format de sortie. Choisissez STIX 2.1, MISP event, CSV, Suricata rules ou YARA rule skeleton. Des champs supplémentaires apparaissent pour MISP (titre, niveau de menace, analyse, diffusion), Suricata (premier sid) et YARA (nom de la règle, auteur).
- Décidez pour les hôtes des URL. Cochez Also add the host of each URL (ajouter aussi l'hôte de chaque URL) si vous voulez que l'hôte de chaque URL devienne son propre indicateur de domaine ou d'IP.
- Convertissez. Appuyez sur Convert ou Ctrl+Entrée. Changer ensuite de format ou de menu MISP met la sortie à jour immédiatement ; après avoir saisi un titre, un sid ou un nom de règle, appuyez sur Entrée ou Convert.
- Vérifiez avant d'exporter. Lisez le résumé et l'éventuel encadré Not in this format, puis ouvrez IOCs found pour vérifier chaque valeur et chaque commentaire.
- Copiez, téléchargez ou transmettez. Copiez la sortie ou téléchargez-la sous le nom de fichier affiché. Send to… l'ouvre dans Blocklist Converter ou Abuse Report Generator.
Exemple
IOC d'une campagne de drainer avec commentaires
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…Un bundle STIX 2.1 avec six indicateurs, par exemple [url:value = 'https://connect.wallet-verify.example/claim'] et [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f'], chaque commentaire servant de description à l'indicateur.
Ce qu'il vérifie
| Signal | Ce que cela signifie |
|---|---|
| IOC uniques et doublons fusionnés | Le nombre après dédoublonnage, avec un badge par type comme URL, Domain, IPv4 ou SHA-256. Le traitement s'arrête à 50 000 IOC. |
| Not in this format | Les entrées que le format choisi ne peut pas contenir, avec la raison. Les adresses crypto n'ont pas d'objet STIX, Suricata n'a pas de règle directe pour les adresses e-mail ou les empreintes, et YARA n'a pas de SHA-512. |
| Commentaires | Ils deviennent la description STIX, le commentaire MISP et CSV, une ligne # au-dessus des règles Suricata et une note // dans YARA, afin que d'autres sachent pourquoi un IOC est listé. |
| Valeurs actives dans la sortie | Les exports contiennent les URL et domaines réels, rétablis, pour que les outils puissent les reconnaître. Seul le tableau IOCs found les affiche désamorcés ; désamorcez-les avant de les coller dans une discussion ou un e-mail. |
| Plage de sid Suricata | Les règles sont numérotées à partir du premier sid avec rev:1. Les domaines reçoivent une règle dns.query et une règle tls.sni qui couvrent aussi les sous-domaines ; les règles d'URL https:// ne se déclenchent que sur du trafic déchiffré. |
| Squelette YARA | Les IOC textuels deviennent des chaînes ascii wide nocase, et les MD5, SHA-1 et SHA-256 des conditions du module hash. Renommez et testez la règle avant de l'utiliser. |
| Paramètres de l'événement MISP | Le titre, le niveau de menace, l'analyse et la diffusion vont dans l'événement, exporté non publié. Les adresses Ethereum sont exportées en texte sans l'indicateur IDS. |
| Identifiants STIX | Chaque IOC est un indicateur doté d'un motif STIX. Les ID du bundle et des indicateurs sont des UUIDv4 aléatoires : chaque conversion donne donc de nouveaux ID. |
D'autres exemples
Règles Suricata à partir de trois IOC
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example3 IOC uniques et 4 règles, sid 9000001 à 9000004 : une règle http.host et http.uri pour login.example.net/verify, une règle ip pour 203.0.113.7, et des règles dns.query et tls.sni pour .wallet-verify.example. Les commentaires apparaissent sous la forme # landing page et # panel.
YARA avec des vecteurs d'empreintes publiés
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDUne règle nommée PhishDestroy_IOC_ suivi de la date du jour, avec import "hash", l'adresse Ethereum sous forme de chaîne et une condition hash.sha256 pour le SHA-256 du fichier vide. Not in this format : 1 × SHA-512: the YARA hash module has no SHA-512.
CSV avec Also add the host coché
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org3 IOC uniques (2 doublons fusionnés). CSV : type,value,comment, puis url,https://pay.example.org/invoice,fake invoice, domain,pay.example.org,fake invoice et email,billing@example.org avec un commentaire vide.
FAQ
Quels types d'IOC sont reconnus, et comment sont-ils convertis ?
Les URL, domaines, adresses IPv4 et IPv6 (plages CIDR comprises), adresses e-mail, empreintes MD5, SHA-1, SHA-256 et SHA-512, ainsi que les adresses Bitcoin et Ethereum avec vérification du checksum. STIX reçoit des motifs url, domain-name, ipv4-addr, ipv6-addr, email-addr et file:hashes ; MISP reçoit url, domain ou hostname, ip-dst, email-src et les types d'empreintes.
Que vérifier avant d'importer le résultat ?
L'extraction depuis du texte libre peut capter des noms de fichiers qui se terminent par un vrai TLD (readme.md, archive.zip) ou des chaînes hexadécimales qui ne sont pas des empreintes de fichiers : examinez donc d'abord le tableau des IOC. Les adresses crypto n'ont pas d'objet STIX, les règles Suricata ne couvrent que les domaines, URL et IP, et le module hash de YARA n'a pas de SHA-512 : ces entrées sont listées comme non converties.
Quelque chose est-il téléversé ?
Non. L'analyse et la conversion s'exécutent dans votre navigateur, et le résultat n'est copié ou téléchargé que lorsque vous le demandez.
Comment associer une note à un IOC ?
Placez-la sur la même ligne après une tabulation, ou après une espace, un # et une espace. La note s'applique à tous les IOC de cette ligne. Lorsqu'une valeur apparaît deux fois, la première note est conservée ; une note ultérieure n'est utilisée que si la première ligne n'en avait pas.
Les règles Suricata sont-elles prêtes à déployer ?
Considérez-les comme un point de départ. Choisissez une plage de sid que votre sonde n'utilise pas, testez les règles sur du trafic enregistré, et rappelez-vous que les règles d'URL pour les sites HTTPS ne fonctionnent que là où le trafic est déchiffré.
Quel format choisir ?
Utilisez STIX 2.1 ou MISP pour les plateformes de threat intelligence, CSV pour les tableurs et les flux simples, Suricata pour les sondes réseau, et le squelette YARA pour analyser des fichiers. Pour des listes DNS ou de blocage publicitaire, envoyez le résultat à Blocklist Converter.