Zet een lijst met IOC’s om naar STIX 2.1, MISP JSON, CSV, Suricata-regels of een YARA-skelet.
Nieuw
URL Defanger & IOC-extractor
Draait lokaal
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik URL Defanger & IOC-extractor
Wat het doet
Verwijder de URL’s, IP-adressen en e-mailadressen uit de tekst, zodat deze kunnen worden gedeeld zonder dat er per ongeluk op wordt geklikt, voeg ze opnieuw toe, of haal de http(s)- en ftp-links, IPv4-adressen en e-mailadressen uit een tekstblok op het tabblad ‘IOC Extractor’.
Het draait volledig in je browser: er wordt niets van wat je invoert geüpload.
Hoe gebruik je URL Defanger & IOC-extractor
- Kies het tabblad. Gebruik ‘Defang & Refang’ voor losse items die je al hebt. Gebruik ‘IOC Extractor’ om items uit een langere tekst te halen, zoals een e-mail, een chatgesprek of een logbestand.
- Plak de invoer. Plak in Defang & Refang URL’s, IP-adressen of e-mailadressen, één per regel. Plak in IOC Extractor de volledige tekst.
- Tanden verwijderen of opnieuw laten zetten. Druk op ‘Defang’ om de tekst niet-klikbaar te maken, of op ‘Refang’ om een ‘defanged’ item weer normaal te maken. Met ‘Copy’ kopieer je de uitvoer.
- Uittreksel en bespreking. Klik in IOC Extractor op ‘Extract & Defang IOCs’. URL’s, IP-adressen en e-mailadressen worden in drie groepen weergegeven; elk item is ontdaan van schadelijke elementen en aangevinkt; vink de valse treffers uit.
- Kopiëren of doorsturen. Met ‘Geselecteerde IOC’s kopiëren’ worden de aangevinkte items gekopieerd, één per regel. Met ‘Verzenden naar…’ wordt de uitvoer van Defang & Refang doorgestuurd naar de IOC Converter, Blocklist Converter of Abuse Report Generator.
Voorbeeld
Drie IOC’s, één per regel
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang geeft hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 en support[at]example[.]net op afzonderlijke regels weer; Refang stuurt ze terug.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| hxxp://, hxxps://, fxp:// | De instelling wordt aangepast zodat chat-apps en e-mailprogramma’s de tekst niet in een actieve link omzetten. |
| [.] voor elke stip | De punten in de hostnaam, het pad en de bestandsnamen veranderen allemaal, waardoor login.php bijvoorbeeld login[.]php wordt. Refang zet ze weer terug. |
| [at] in plaats van elke @ | Dit geldt voor e-mailadressen en voor elke @ in een URL. Refang accepteert zowel [at] als (at). |
| Andere stijlen van het ontgrijzen | Refang accepteert ook [@], (at), (.), {.}, [dot], (dot) en [:], zodat tekst die door andere tools is ontdaan van speciale tekens in één stap weer kan worden omgezet. |
| Twee keer ontgrenen | Onderdelen die al ontbraakt zijn, blijven zoals ze zijn, dus twee keer ontbraken verandert niets. |
| Geëxtraheerde URL's (n) | Tekst die begint met http://, https:// of ftp://, tot aan een spatie, haakje of aanhalingsteken. Een punt of komma aan het einde van een zin blijft staan, dus controleer het einde van elke URL. |
| Gehanteerde IP-adressen (n) | Elke willekeurige vier groepen van 1 tot 3 cijfers. Versienummers en waarden hoger dan 255 komen ook overeen, en een IP-adres in een URL wordt hier nogmaals vermeld. |
| Uitgepakte e-mails (n) | Adressen die eindigen op een punt en ten minste twee letters. In elke groep wordt elk item slechts één keer vermeld. |
| Er zijn geen IOC's (URL's, IP-adressen of e-mailadressen) in de tekst aangetroffen. | Er kwam niets overeen. Zelfstandige domeinnamen zoals example.org en links waarvan de schadelijke inhoud al is verwijderd, worden niet opgehaald. |
Nog meer voorbeelden
Inlogpagina op een naakt IP-adres
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
Twee stijlen opnieuw uitbrengen
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
Uittreksel uit een SMS-bericht over een pakket
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URL's (1): hxxps://parcel-fee[.]example/pay?ref=88[.] inclusief de punt. IP-adressen (2): 203[.]0[.]113[.]45 en 10[.]2[.]3[.]4. E-mailadressen (1): help[at]parcel-fee[.]example. example.org/track is niet gevonden.
Veelgestelde vragen
Wat verandert Defang precies?
http://, https:// en ftp:// worden hxxp://, hxxps:// en fxp://, elke punt wordt [.] en elke @ wordt [at], inclusief punten in paden en bestandsnamen; delen die al zijn ontdaan van speciale tekens blijven zoals ze zijn, dus een tweede ontdaan-bewerking verandert niets. Refang keert dit om en accepteert ook [@], (at), (.), {.}, [dot], (dot) en [:].
Wat vindt de IOC Extractor, en wat ziet hij over het hoofd?
Links die beginnen met http://, https:// of ftp://, getallen die op IPv4 lijken en e-mailadressen. Domeinnamen zonder protocol en links waarvan de schadelijke elementen al zijn verwijderd, worden niet geëxtraheerd. Het IP-patroon komt ook overeen met versienummers zoals 1.2.3.4, en leestekens aan het einde van een URL kunnen blijven staan. Controleer de lijst daarom voordat u deze kopieert.
Wordt mijn tekst ergens naartoe gestuurd?
Nee. Het verwijderen, opnieuw toevoegen en verwijderen van tanden zijn tekstvervangingen in je browser; er wordt niets geüpload en er wordt geen link geopend.
Is een onschadelijk gemaakte link dan veilig om te openen?
Nee. Door de link te 'ontkoppelen' verandert alleen het uiterlijk van de tekst. Zodra de link weer is gekoppeld, leidt deze naar dezelfde pagina, dus open deze alleen in een afzonderlijke browser of een scanner.
Wanneer moet ik de refang uitvoeren voordat ik het verstuur?
Maak de tekst onschadelijk zodat mensen hem kunnen lezen, bijvoorbeeld in chats, tickets of berichten. Maak hem weer bruikbaar wanneer je hem in een formulier, een scanner of een blokkeerlijst plakt die normale URL’s verwacht.
Ondersteunt het IPv6-adressen?
Slechts gedeeltelijk. De extractor zoekt uitsluitend naar IPv4-adressen. Defang wijzigt een IPv6-adres alleen binnen een URL, waarbij het schema verandert in hxxp of hxxps; de dubbele punten blijven ongewijzigd.
Waarom werken andere PhishDestroy-tools op een andere manier?
Tools zoals Archive Link Builder vervangen alleen punten tussen letters of cijfers en schrijven @ als [@]. Deze tool vervangt elke punt en schrijft [at]. Refang accepteert beide vormen, dus links die met een van beide tools zijn gemaakt, worden weer omgezet.