Controleer maximaal 500 domeinen of URL’s aan de hand van de DestroyList-blokkeerlijst voor phishing.
Netwerk: DestroyListNieuw
Reputatiekoppelingen
Draait lokaalNieuw
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik Reputatiekoppelingen
Wat het doet
Zoek een verdacht domein of een verdachte URL in één keer op vijf plaatsen op: scans van urlscan.io, beoordelingen van VirusTotal, Google Safe Browsing, de certificaatgeschiedenis van crt.sh en het domeinrapport van PhishDestroy. Voor een IP-adres worden de twee diensten geraadpleegd die IP-adressen indexeren: urlscan.io en VirusTotal.
Het draait volledig in je browser: er wordt niets van wat je invoert geüpload.
Hoe gebruik je Reputatiekoppelingen
- Voer in wat je wilt controleren. Typ of plak een domeinnaam, een URL of een IPv4- of IPv6-adres. Aangepaste vormen zoals hxxps:// en [.] worden geaccepteerd.
- Maak de koppelingen aan. Klik op ‘Links genereren’ of druk op Enter. De pagina genereert alleen de links en maakt geen verbinding met een dienst.
- Controleer of het begrepen is. De eerste regel geeft aan of de invoer is gelezen als een domein, een URL of een IP-adres, en vermeldt de naam van het geregistreerde domein wanneer deze afwijkt van de host.
- Open de opzoekfuncties die je nodig hebt. Elke rij bevat een korte beschrijving en wordt in een nieuw tabblad geopend. Pas dan wordt de naam die je opzoekt bij die dienst weergegeven.
- Lees de antwoorden samen. Een certificaatgeschiedenis van enkele dagen in combinatie met een scan waarop een inlogpagina te zien is, is een sterker waarschuwingssignaal dan elk van beide afzonderlijk.
- Vertel het verder. Gebruik ‘Verzenden naar…’ om de naam te controleren in de DestroyList Check, sla deze op met de Archive Link Builder of zoek uit bij wie je dit moet melden met de Abuse Contact Lookup.
Voorbeeld
Een subdomein onder een landcode-domein
login.example.co.ukLinks for the domain login[.]example[.]co[.]uk (registered domain example[.]co[.]uk). Opening a link sends the name to that service; nothing is sent from this page.
urlscan.io
Earlier scans of the site: screenshots, redirects, requests.
Open urlscan.io
↗
(new tab)
VirusTotal
Engine verdicts, DNS, WHOIS and related URLs for the domain.
Open VirusTotal
↗
(new tab)
Google Safe Browsing
Whether Chrome and other browsers warn about the site.
Open Google Safe Browsing
↗
(new tab)
crt.sh
TLS certificates for the registered domain and its subdomains: when the site was set up and which subdomains exist.
Open crt.sh
↗
(new tab)
PhishDestroy domain report
Our report, if the domain is in the PhishDestroy database.
Open PhishDestroy domain report
↗
(new tab)Maakt de vijf links aan; crt.sh doorzoekt %.example.co.uk, het geregistreerde domein uit de Public Suffix List, zodat alle certificaten voor de subdomeinen daarvan worden weergegeven, en de link naar het PhishDestroy-rapport maakt ook gebruik van example.co.uk.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| Soort invoer | Domein, URL (alles met een schema, pad of query) of IP-adres. Een URL wordt onderworpen aan exacte URL-controles bij VirusTotal en Safe Browsing; een domein wordt onderworpen aan domeincontroles. |
| Geregistreerd domein | Dit is uitgewerkt aan de hand van de Public Suffix List, inclusief privé-achtervoegsels zoals github.io, zodat login.example.github.io bij example.github.io hoort en niet bij GitHub. |
| urlscan.io | Eerdere scans van de host of van pagina’s die vanaf een bepaald IP-adres worden aangeboden. Screenshots laten zien hoe de pagina eruitzag zonder dat je deze had geopend. |
| VirusTotal | Beoordelingen van zoekmachines voor het domein, de exacte URL of het IP-adres. „Nul detecties” betekent alleen dat nog geen enkele zoekmachine het heeft gemarkeerd. |
| Google Veilig surfen | De status van het transparantierapport: of Chrome en andere browsers een waarschuwing geven over de website of URL. |
| crt.sh | Certificaatgeschiedenis van het geregistreerde domein en al zijn subdomeinen (%.registered-domain). Als het eerste certificaat van de afgelopen dagen dateert, betekent dit dat de website nieuw is. |
| Domeinrapport van PhishDestroy | Onze pagina voor het geregistreerde domein, waarop informatie te vinden is als het domein in de PhishDestroy-database staat. |
| IP-adressen | Voor een IP-adres worden alleen urlscan.io en VirusTotal aangeboden, omdat de andere zoekopdrachten op basis van namen werken. |
Nog meer voorbeelden
Documentatie IP-adres
203.0.113.45Links voor het IP-adres 203[.]0[.]113[.]45. Twee rijen: urlscan.io (scans van pagina’s die vanaf dit IP-adres worden aangeboden) en VirusTotal (beoordelingen van de scanengines, passieve DNS en gerelateerde bestanden voor het IP-adres).
Login-URL zonder speciale tekens
hxxps://secure.example[.]org/login?next=/accountLinks voor de URL hxxps://secure[.]example[.]org/login?next=/account (geregistreerd domein example[.]org). VirusTotal en Safe Browsing zoeken de exacte URL op, urlscan.io zoekt naar secure.example.org, crt.sh zoekt naar %.example.org en het PhishDestroy-rapport gebruikt example.org.
Naaktdomein
example.netLinks voor het domein example[.]net. Vijf rijen; VirusTotal opent de domeinpagina en crt.sh doorzoekt %.example.net.
Veelgestelde vragen
Vraagt deze pagina gegevens op bij die diensten?
Nee. Het legt alleen koppelingen aan, en er wordt niets verzonden totdat je er een opent; pas dan ziet die dienst de naam. Hierdoor blijft een verdacht domein uit de logbestanden van derden totdat je besluit het op te zoeken.
Wat vertelt elke dienst mij?
urlscan.io toont eerdere scans met schermafbeeldingen en omleidingen, VirusTotal toont beoordelingen van antivirusprogramma’s en blokkeerlijsten, Safe Browsing geeft aan of browsers een waarschuwing geven, crt.sh geeft een overzicht van TLS-certificaten (op het moment dat de site werd opgezet) en het PhishDestroy-rapport toont ons bewijsmateriaal.
Waarom doorzoekt crt.sh het gehele geregistreerde domein?
Phishing-kits bevinden zich vaak op meerdere subdomeinen van één geregistreerd domein. Als je zoekt op %.geregistreerd-domein – een methode die is uitgewerkt aan de hand van de Public Suffix List – krijg je een lijst met alle certificaten die daarvoor zijn uitgegeven, niet alleen het certificaat met de naam die je hebt ingevoerd.
Welke link moet ik als eerste openen?
Als je een link in een bericht tegenkomt, begin dan met urlscan.io en Safe Browsing: deze laten zien hoe de pagina eruitzag en of browsers deze al blokkeren. crt.sh geeft aan hoe recent de site is, en VirusTotal voegt de beoordelingen van verschillende scansystemen toe.
Kan ik een website op een gratis hostingdienst of een cloudplatform controleren?
Ja. De Public Suffix List beschouwt diensten zoals github.io en pages.dev als achtervoegsels, dus a.b.example.pages.dev hoort bij example.pages.dev. De zoekfunctie van crt.sh en de link in het PhishDestroy-rapport gebruiken die naam, niet het eigen domein van het platform.
Werkt een IPv6-adres?
Ja. Een adres met dubbele punten wordt geaccepteerd, met of zonder vierkante haakjes, en je krijgt daarvoor links naar urlscan.io en VirusTotal.