GitHub Arsenal: strumenti open source per la lotta alla criminalità informatica

La lotta contro la criminalità informatica è uno sforzo globale, e la comunità open source svolge un ruolo fondamentale. GitHub, in qualità di piattaforma leader a livello mondiale per lo sviluppo di software, ospita una vasta gamma di strumenti progettati per individuare, analizzare e contrastare varie minacce informatiche, tra cui quella sempre più diffusa del phishing.

Il potere dell'open source nella sicurezza informatica

I progetti open source offrono una trasparenza senza pari, consentendo ai ricercatori nel campo della sicurezza e agli sviluppatori di tutto il mondo di esaminare il codice, individuare le vulnerabilità e contribuire al miglioramento dello stesso. Questo modello collaborativo favorisce una rapida innovazione e crea soluzioni solide, verificate dalla comunità, contro attacchi informatici sofisticati.

Risorse fondamentali per la lotta al phishing

Oltre agli strumenti generici per la sicurezza informatica, esistono diverse risorse specializzate che si rivelano preziose per contrastare direttamente i tentativi di phishing. Questi strumenti spaziano dai feed sulle minacce in tempo reale ai servizi di analisi degli URL e alle liste di blocco gestite dalla comunità:

• TweetFeed.live: Fornisce un flusso in tempo reale di informazioni sulle minacce informatiche, che spesso include avvisi tempestivi relativi a campagne di phishing diffuse sui social media.
• Phish.Report: Una piattaforma per segnalare siti di phishing, che contribuisce alla creazione di un database collettivo che aiuta a bloccare gli URL dannosi.
• URLQuery.net: Offre un servizio gratuito per l'analisi di URL sospetti, fornendo rapporti dettagliati sul loro comportamento e sulle potenziali minacce.
• Tweet sperimentali su IOC di ThreatView.io: Un flusso di dati grezzi relativi agli indicatori di compromissione (IOC) estratti dai tweet, utile per i sistemi automatizzati di rilevamento delle minacce.
• Repository dedicato al phishing su Polkadot-JS: Un repository GitHub dedicato al monitoraggio e all'individuazione dei tentativi di phishing rivolti all'ecosistema Polkadot.
• Dati pubblici di URLAbuse.com: Fornisce un elenco pubblico di URL segnalati come dannosi, che può essere utilizzato per aggiornare le liste di blocco.
• MetaMask/rilevamento-phishing-eth: Un progetto open source di MetaMask volto a individuare e prevenire i tentativi di phishing legati a Ethereum.
• Lista di blocco di Phishing.Army: Un elenco di URL noti per attività di phishing, aggiornato regolarmente e gestito dalla comunità di Phishing.Army.
• Analisi dell'URL su VirusTotal: Un servizio ampiamente utilizzato che analizza file e URL sospetti, fornendo informazioni provenienti da diversi motori antivirus e servizi di blacklist.
• Phish Guard Blu: Un'applicazione web progettata per aiutare gli utenti a individuare ed evitare i link di phishing.
• Rapporto sul phishing di Netcraft: La piattaforma di Netcraft per la segnalazione dei siti di phishing, che contribuisce alla sua azione globale contro il phishing.
• Seal Phishing Bot (Telegram): Un bot di Telegram che aiuta gli utenti a verificare se i link contengono tentativi di phishing e a segnalare attività sospette.
• URLScan.io: Un servizio gratuito che esegue la scansione e l'analisi dei siti web, fornendo rapporti dettagliati sui loro contenuti, sulle tecnologie utilizzate e sulle potenziali attività dannose.

"Noi di PhishDestroy crediamo fermamente nel potere della collaborazione e della trasparenza nel campo della sicurezza informatica. Il nostro operato si basa su principi in linea con la filosofia dell'open source."

Kit di strumenti per investigatori OSINT

Al di là delle liste di blocco, un’indagine vera e propria richiede strumenti più approfonditi. I seguenti strumenti open source costituiscono la spina dorsale di qualsiasi flusso di lavoro volto a contrastare il phishing: ciascuno di essi è gratuito, programmabile tramite script e collaudato sul campo dalla comunità:

• urlscan.io — Analisi degli URL in ambiente sandbox: istantanea completa del DOM, screenshot, chiamate di rete, dettagli dei certificati. Indispensabile per la conservazione delle prove prima della rimozione.
• VirusTotal — Ricerca multipla della reputazione di URL, file, indirizzi IP e hash. Inserendo qui un URL di phishing, il rilevamento viene trasmesso a decine di fornitori di soluzioni antivirus ed EDR.
• Shodan — Motore di ricerca dedicato all’Internet delle cose (IoT) e ai servizi esposti. Utilizzato per mappare le infrastrutture dei truffatori, identificare i cluster di hosting e individuare i pannelli di controllo.
• Censys — ricerca di certificati e banner; passare da un certificato TLS a un centinaio di domini correlati è all’ordine del giorno qui.
• crt.sh — Ricerca gratuita nel registro di Certificate Transparency, ideale per individuare certificati simili di nuova emissione che violano i marchi protetti.
• Wayback Machine — conserva delle istantanee che rimangono disponibili anche dopo che il sito originale è stato rimosso.
• WHOIS & ViewDNS.info — ricerca dei titolari di domini, ricerca inversa degli indirizzi IP e pivoting DNS.
• Maltego CE — analisi dei collegamenti basata su grafi; ideale per visualizzare le reti dei truffatori attraverso nodi quali e-mail, domini, indirizzi IP e social media.
• theHarvester — raccoglie indirizzi e-mail, sottodomini, host e nomi dei dipendenti da fonti pubbliche.
• Kali Linux — distribuzione preinstallata con centinaia di strumenti OSINT e di sicurezza.

Misure di protezione a livello di browser

La maggior parte delle vittime del phishing cade nella trappola con un semplice clic. Le difese a livello di browser bloccano l'attacco prima ancora che raggiunga il portafoglio:

• MetaMask - Rilevamento di phishing su Ethereum — una lista di domini bloccati integrata in MetaMask e in molti portafogli Web3, che blocca le pagine di phishing note prima ancora che vengano caricate.
• PhishDestroy elenco da eliminare — Oltre 130.000 domini attivi segnalati come truffa o phishing, in diversi formati (DNS, hosts, JSON, CSV), pronti per l'integrazione con Pi-hole, AdGuard, estensioni per browser o firewall aziendali.
• Elenchi di PhishFort — liste di blocco del crypto-phishing gestite dalla comunità.
• uBlock Origin + Privacy Badger — filtra gli annunci pubblicitari e i tracker, riducendo drasticamente l'esposizione ai canali di diffusione del malvertising.
• ScamSniffer — Estensione per il database delle truffe Web3 che evidenzia direttamente nella pagina i rischi legati ai contratti “drainer”.

Feed di intelligence sulle minacce

Se gestisci un SOC, un CERT o una piattaforma di sicurezza, integra questi feed pubblici relativi alle infrastrutture di phishing attive:

• lista da eliminare — aggiornamento automatico, oltre 130.000 minacce, API gratuita, diversi formati.
• OpenPhish — feed di phishing della comunità in formato testo semplice.
• PhishTank — URL di phishing verificati (Cisco/OpenDNS).
• URLhaus (abuse.ch) — URL utilizzati per la diffusione di malware.
• TweetFeed — Informazioni relative alle IOC raccolte dai social media dedicati alla sicurezza informatica.
• Database delle truffe di ScamSniffer — Liste nere del Web3.

YARA, honeypot e difesa attiva

• PhishingKit - Regole Yara — individuare le impronte digitali note dei kit di phishing nei file HTML/JS.
• Regole di Yara — libreria di regole gestita dalla comunità.
• Honeypot & gettoni canary — canarytokens.org, MazeRunner CE.
• Operazione Takedown — la nostra raccolta di script per contrastare le campagne di phishing in corso.

Flusso di lavoro — Dalla segnalazione alla rimozione

Un'indagine tipica combina tra loro questi strumenti:

1. Ricevi un contatto — un rapporto della comunità (Bot di Telegram), un rilevamento da parte di un parser di annunci a pagamento o un avviso del registro CT.
2. Conferma il tentativo di phishing — sandbox tramite urlscan.io; verifica incrociata con VirusTotal, OpenPhish, PhishTank.
3. Infrastruttura cartografica — effettuare una ricerca tramite Censys/Shodan per individuare domini, indirizzi IP e certificati correlati.
4. Conservare le prove — Istantanea di Wayback, archivio urlscan, acquisizione completa di HTML/JS, schermate.
5. Informare i partner — inviare la segnalazione a oltre 50 fornitori di soluzioni antimalware, segnalare l'abuso al registrar/host, diffondere la segnalazione ai feed di MetaMask e ScamSniffer.
6. Monitor — confermare la rimozione; prestare attenzione a eventuali ricomparse su indirizzi IP vicini o su domini simili appena registrati.

Per saperne di più:Anatomia di un takedown · Registrar che favoriscono le truffe · Guida alla sicurezza delle criptovalute

Sfruttando questi strumenti open source, privati, piccole imprese e grandi aziende possono migliorare in modo significativo il proprio livello di sicurezza informatica. L’intelligenza collettiva e lo sviluppo continuo all’interno della comunità open source rappresentano risorse inestimabili nella lotta costante contro la criminalità informatica. Siate vigili, tenetevi informati e sfruttate la potenza dell’open source per proteggere voi stessi e la vostra comunità.