Transforme domínios e URLs em listas de bloqueio hosts, AdGuard, Pi-hole, RPZ, dnsmasq ou Unbound.
Nova
Conversor de IOCs
Execução localNova
A ferramenta em si está em inglês; esta página explica como usá-la no seu idioma.
Use Conversor de IOCs
O que ele faz
Cole indicadores de comprometimento (IOCs) ou qualquer texto. O conversor restaura (refang) e classifica URLs, domínios, endereços IP, endereços de e-mail e hashes, junta duplicatas e os escreve como bundle STIX 2.1, evento MISP, CSV, regras Suricata ou esqueleto YARA.
Ele funciona inteiramente no seu navegador: nada do que você digitar é enviado.
Como usar Conversor de IOCs
- Cole IOCs ou um relatório. Cole uma lista ou qualquer texto. Formas neutralizadas como hxxps:// e [.] são convertidas de volta em valores reais. O texto depois de uma tabulação ou de " # " em uma linha vira o comentário dos IOCs daquela linha.
- Escolha o formato de saída. Escolha STIX 2.1, MISP event, CSV, Suricata rules ou YARA rule skeleton. Campos extras aparecem para o MISP (título, nível de ameaça, análise, distribuição), o Suricata (primeiro sid) e o YARA (nome da regra, autor).
- Decida sobre os hosts das URLs. Marque Also add the host of each URL se quiser o host de cada URL como indicador próprio de domínio ou IP.
- Converta. Clique em Convert (converter) ou pressione Ctrl+Enter. Trocar depois o formato ou um menu do MISP atualiza a saída na hora; depois de digitar um título, um sid ou um nome de regra, pressione Enter ou clique em Convert.
- Revise antes de exportar. Leia o resumo e qualquer caixa Not in this format, depois abra IOCs found para conferir cada valor e comentário.
- Copie, baixe ou repasse. Copie a saída ou baixe-a com o nome de arquivo exibido. Send to… a abre no Blocklist Converter ou no Abuse Report Generator.
Exemplo
IOCs de uma campanha de drainer, com comentários
hxxps://connect.wallet-verify[.]example/claim # drainer landing page
wallet-verify.example
198.51.100.23
2001:db8::23
support@wallet-verify.example
44d88612fea8a8f36de82e1278abb02f # EICAR test file6 unique IOCs: URL 1 Domain 1 IPv4 1 IPv6 1 E-mail 1 MD5 1
Each IOC is an indicator (spec_version 2.1, indicator_types malicious-activity) with a STIX pattern; the bundle and indicator IDs are random UUIDv4 values.
STIX 2.1 bundle (JSON)
{
"type": "bundle",
"id": "bundle--9bbd66dc-1735-4610-9fa4-1728d2d24160",
"objects": [
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--76bed4a1-d4de-40e2-990f-618d4808917c",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "https://connect.wallet-verify.example/claim",
"indicator_types": [
"malicious-activity"
],
"pattern": "[url:value = 'https://connect.wallet-verify.example/claim']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z",
"description": "drainer landing page"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--795d119e-5917-4254-a8be-be240749baf6",
"created": "2026-10-20T17:09:59.108Z",
"modified": "2026-10-20T17:09:59.108Z",
"name": "wallet-verify.example",
"indicator_types": [
"malicious-activity"
],
"pattern": "[domain-name:value = 'wallet-verify.example']",
"pattern_type": "stix",
"pattern_version": "2.1",
"valid_from": "2026-10-20T17:09:59.108Z"
},
{
"type": "indicator",
"spec_version": "2.1",
"id": "indicator--b44a4ee9-3bf6-41f7-9b7f-a74eee60b8be",
"created": "2026-10-20T17:09:59.108Z",
…Um bundle STIX 2.1 com seis indicadores, por exemplo [url:value = 'https://connect.wallet-verify.example/claim'] e [file:hashes.MD5 = '44d88612fea8a8f36de82e1278abb02f'], com cada comentário como descrição do indicador.
O que ele verifica
| Sinal | O que isso significa |
|---|---|
| IOCs únicos e duplicatas mescladas | A contagem depois da remoção de duplicatas, com um selo por tipo, como URL, Domain, IPv4 ou SHA-256. O processamento para em 50.000 IOCs. |
| Not in this format | Entradas que o formato escolhido não comporta, com o motivo. Endereços cripto não têm objeto STIX, o Suricata não tem regra inline para endereços de e-mail ou hashes, e o YARA não tem SHA-512. |
| Comentários | Viram a description do STIX, o comment do MISP e do CSV, uma linha # acima das regras Suricata e uma nota // no YARA, para que outras pessoas saibam por que um IOC está listado. |
| Valores ativos na saída | As exportações contêm URLs e domínios reais, restaurados, para que as ferramentas possam reconhecê-los. Só a tabela IOCs found os mostra neutralizados; neutralize antes de colar em um chat ou e-mail. |
| Faixa de sid do Suricata | As regras são numeradas a partir do primeiro sid, com rev:1. Domínios recebem uma regra dns.query e uma tls.sni, que também cobrem subdomínios; regras de URL https:// só disparam em tráfego descriptografado. |
| Esqueleto YARA | IOCs de texto viram strings ascii wide nocase, e MD5, SHA-1 e SHA-256 viram condições do módulo hash. Renomeie e teste a regra antes de usá-la. |
| Configurações do evento MISP | Título do evento, nível de ameaça, análise e distribuição vão para o evento, que é exportado sem publicação. Endereços Ethereum são exportados como texto, sem a flag IDS. |
| Identificadores STIX | Cada IOC é um indicator com um padrão STIX. Os IDs do bundle e dos indicadores são valores UUIDv4 aleatórios, então cada conversão gera novos IDs. |
Mais exemplos
Regras Suricata a partir de três IOCs
hxxp://login.example[.]net/verify # landing page
203.0.113.7 # panel
wallet-verify.example3 IOCs únicos e 4 regras, sid 9000001 a 9000004: uma regra http.host e http.uri para login.example.net/verify, uma regra ip para 203.0.113.7 e regras dns.query e tls.sni para .wallet-verify.example. Os comentários aparecem como # landing page e # panel.
YARA com vetores de hash publicados
e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 # empty file
cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
0x000000000000000000000000000000000000dEaDUma regra chamada PhishDestroy_IOC_ mais a data de hoje, com import "hash", o endereço Ethereum como string e uma condição hash.sha256 para o SHA-256 do arquivo vazio. Not in this format: 1 × SHA-512: the YARA hash module has no SHA-512.
CSV com Also add the host marcado
hxxps://pay.example[.]org/invoice # fake invoice
https://pay.example.org/invoice
billing@example[.]org3 IOCs únicos (2 duplicatas mescladas). CSV: type,value,comment, depois url,https://pay.example.org/invoice,fake invoice, domain,pay.example.org,fake invoice e email,billing@example.org com comentário vazio.
Perguntas frequentes
Quais tipos de IOC são reconhecidos e como são mapeados?
URLs, domínios, endereços IPv4 e IPv6 (também faixas CIDR), endereços de e-mail, hashes MD5, SHA-1, SHA-256 e SHA-512, e endereços Bitcoin e Ethereum com verificação de checksum. O STIX recebe padrões url, domain-name, ipv4-addr, ipv6-addr, email-addr e file:hashes; o MISP recebe url, domain ou hostname, ip-dst, email-src e os tipos de hash.
O que devo verificar antes de importar o resultado?
A extração de texto livre pode pegar nomes de arquivo que terminam em um TLD real (readme.md, archive.zip) ou strings hexadecimais que não são hashes de arquivo, então revise antes a tabela de IOCs. Endereços cripto não têm objeto STIX, as regras Suricata cobrem só domínios, URLs e IPs, e o módulo hash do YARA não tem SHA-512, então essas entradas aparecem como não convertidas.
Algo é enviado?
Não. A análise e a conversão rodam no seu navegador, e a saída só é copiada ou baixada quando você pede.
Como anexo uma nota a um IOC?
Coloque-a na mesma linha, depois de uma tabulação ou depois de espaço, #, espaço. A nota vale para todos os IOCs daquela linha. Quando um valor aparece duas vezes, a primeira nota é mantida; uma nota posterior só é usada se a primeira linha não tinha nenhuma.
As regras Suricata estão prontas para implantar?
Trate-as como ponto de partida. Escolha uma faixa de sid que o seu sensor não usa, teste as regras em tráfego gravado e lembre-se de que regras de URL para sites HTTPS só funcionam onde o tráfego é descriptografado.
Qual formato devo escolher?
Use STIX 2.1 ou MISP para plataformas de inteligência de ameaças, CSV para planilhas e feeds simples, Suricata para sensores de rede e o esqueleto YARA para varredura de arquivos. Para listas de DNS ou de bloqueio de anúncios, envie o resultado ao Blocklist Converter.