Transformez une liste d'IOC en STIX 2.1, JSON MISP, CSV, règles Suricata ou squelette YARA.
Nouveau
Désamorceur d'URL et extracteur d'IOC
Exécution locale
L'outil lui-même est en anglais ; cette page vous l'explique dans votre langue.
Utilisez Désamorceur d'URL et extracteur d'IOC
Fonctionnalités
Neutralisez les URL, les adresses IP et les adresses e-mail afin de pouvoir les partager sans risque de clics accidentels, réactivez-les, ou extrayez les liens http(s) et ftp, les adresses IPv4 et les e-mails d'un bloc de texte dans l'onglet « IOC Extractor ».
Tout se passe entièrement dans votre navigateur : aucune des données que vous saisissez n'est transmise.
Comment utiliser Désamorceur d'URL et extracteur d'IOC
- Choisissez l'onglet. Utilisez Defang & Refang pour des éléments isolés que vous avez déjà. Utilisez IOC Extractor pour extraire des éléments d'un texte plus long comme un e-mail, une discussion ou un journal.
- Collez la saisie. Dans Defang & Refang, collez des URL, des adresses IP ou des adresses e-mail, une par ligne. Dans IOC Extractor, collez le texte entier.
- Désamorcez ou rétablissez. Appuyez sur Defang pour rendre le texte non cliquable, ou sur Refang pour reconvertir un élément désamorcé en élément normal. Copy copie la sortie.
- Extrayez et vérifiez. Dans IOC Extractor, appuyez sur Extract & Defang IOCs. Les URL, adresses IP et e-mails apparaissent en trois groupes, chaque élément étant désamorcé et coché ; décochez les fausses correspondances.
- Copiez ou transmettez. Copy Selected IOCs copie les éléments cochés, un par ligne. Send to… transmet la sortie de Defang & Refang à IOC Converter, Blocklist Converter ou Abuse Report Generator.
Exemple
Trois IOC, un par ligne
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang renvoie hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 et support[at]example[.]net sur des lignes séparées ; Refang les reconvertit.
Ce qu'il vérifie
| Signal | Ce que cela signifie |
|---|---|
| hxxp://, hxxps://, fxp:// | Le schéma est remplacé pour que les applications de discussion et les clients de messagerie ne transforment pas le texte en lien actif. |
| [.] pour chaque point | Les points de l'hôte, du chemin et des noms de fichiers changent tous : login.php devient ainsi login[.]php. Refang les restaure. |
| [at] pour chaque @ | S'applique aux adresses e-mail et à tout @ présent dans une URL. Refang accepte [at] et (at). |
| Autres styles de « defang » | Refang accepte également [@], (at), (.), {.}, [dot], (dot) et [:] ; ainsi, le texte « neutralisé » par d'autres outils peut être reconverti en une seule étape. |
| Double désamorçage | Les pièces qui ont déjà été ébarbées restent telles quelles ; les ébarber une deuxième fois ne change donc rien. |
| Extracted URLs (n) | Le texte commençant par http://, https:// ou ftp://, jusqu'à une espace, un crochet ou un guillemet. Un point ou une virgule en fin de phrase reste attaché : vérifiez donc la fin de chaque URL. |
| Extracted IP Addresses (n) | Tout ensemble de quatre groupes de 1 à 3 chiffres. Les numéros de version et les valeurs supérieures à 255 correspondent aussi, et une IP présente dans une URL est de nouveau listée ici. |
| Extracted Emails (n) | Les adresses se terminant par un point et au moins deux lettres. Chaque groupe ne liste chaque élément qu'une seule fois. |
| No IOCs (URLs, IPs, or Emails) found in the text. | Rien ne correspond. Les domaines nus comme example.org et les liens déjà désamorcés ne sont pas extraits. |
D'autres exemples
Page de connexion sur une simple IP
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
Rétablir deux styles
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
Extraction depuis un SMS de colis
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URLs (1) : hxxps://parcel-fee[.]example/pay?ref=88[.] avec le point final attaché. IP Addresses (2) : 203[.]0[.]113[.]45 et 10[.]2[.]3[.]4. Emails (1) : help[at]parcel-fee[.]example. example.org/track n'est pas trouvé.
FAQ
Que change exactement Defang ?
http://, https:// et ftp:// deviennent respectivement hxxp://, hxxps:// et fxp://, chaque point devient [.] et chaque @ devient [at], y compris les points présents dans les chemins d’accès et les noms de fichiers ; les parties déjà « neutralisées » restent inchangées, donc une double neutralisation ne change rien. La fonction « refang » inverse ce processus et accepte également [@], (at), (.), {.}, [dot], (dot) et [:].
Que trouve IOC Extractor, et que manque-t-il ?
Les liens qui commencent par http://, https:// ou ftp://, les nombres ressemblant à des IPv4 et les adresses e-mail. Les domaines nus sans schéma et les liens déjà désamorcés ne sont pas extraits, le motif d'IP correspond aussi à des numéros de version comme 1.2.3.4, et la ponctuation finale peut rester collée à une URL : examinez donc la liste avant de la copier.
Mon texte est-il envoyé quelque part ?
Non. Le désamorçage, le rétablissement et l'extraction sont des remplacements de texte dans votre navigateur ; rien n'est téléversé et aucun lien n'est ouvert.
Un lien désamorcé devient-il sûr à ouvrir ?
Non. Le désamorçage ne change que l'apparence du texte. Une fois rétabli, le lien mène à la même page : ne l'ouvrez que dans un navigateur isolé ou un scanner.
Quand faut-il rétablir avant d'envoyer ?
Désamorcez le texte que des personnes liront, dans des discussions, des tickets ou des publications. Rétablissez-le lorsque vous le collez dans un formulaire, un scanner ou une liste de blocage qui attend des URL normales.
Gère-t-il les adresses IPv6 ?
Seulement en partie. L'extracteur ne recherche que des adresses IPv4. Defang ne modifie une adresse IPv6 qu'à l'intérieur d'une URL, où le schéma devient hxxp ou hxxps ; les deux-points restent tels quels.
Pourquoi d'autres outils PhishDestroy désamorcent-ils différemment ?
Des outils tels qu'Archive Link Builder ne remplacent que les points situés entre les lettres ou les chiffres et écrivent @ sous la forme [@]. Cet outil remplace tous les points et écrit [at]. Refang accepte les deux formes ; les liens créés par l'un ou l'autre de ces outils sont donc reconvertis.