Verifique até 500 domínios ou URLs na lista de bloqueio de phishing DestroyList.
Rede: DestroyListNova
Links de reputação
Execução localNova
A ferramenta em si está em inglês; esta página explica como usá-la no seu idioma.
Use Links de reputação
O que ele faz
Verifique um domínio ou URL suspeito em cinco fontes ao mesmo tempo: análises do urlscan.io, resultados do VirusTotal, Navegação Segura do Google, histórico de certificados do crt.sh e o relatório de domínios do PhishDestroy. Um endereço IP é verificado nas duas fontes que indexam IPs: urlscan.io e VirusTotal.
Ele funciona inteiramente no seu navegador: nada do que você digitar é enviado.
Como usar Links de reputação
- Digite o que você quer verificar. Digite ou cole um domínio, uma URL ou um endereço IPv4 ou IPv6. Formas neutralizadas como hxxps:// e [.] são aceitas.
- Gere os links. Clique em Build links (gerar links) ou pressione Enter. A página só gera os links e não entra em contato com nenhum serviço.
- Confira o que foi entendido. A primeira linha diz se a entrada foi lida como domínio, URL ou IP e indica o domínio registrado quando ele é diferente do host.
- Abra as consultas de que precisa. Cada linha tem uma descrição curta e abre em uma nova aba. Só então aquele serviço vê o nome que você consulta.
- Leia as respostas em conjunto. Poucos dias de histórico de certificados mais uma varredura que mostra uma página de login são um sinal de alerta mais forte do que cada um isoladamente.
- Repasse. Use Send to… para verificar o nome no DestroyList Check, salvá-lo com o Archive Link Builder ou descobrir a quem denunciá-lo com o Abuse Contact Lookup.
Exemplo
Um subdomínio sob um domínio de código de país
login.example.co.ukLinks for the domain login[.]example[.]co[.]uk (registered domain example[.]co[.]uk). Opening a link sends the name to that service; nothing is sent from this page.
urlscan.io
Earlier scans of the site: screenshots, redirects, requests.
Open urlscan.io
↗
(new tab)
VirusTotal
Engine verdicts, DNS, WHOIS and related URLs for the domain.
Open VirusTotal
↗
(new tab)
Google Safe Browsing
Whether Chrome and other browsers warn about the site.
Open Google Safe Browsing
↗
(new tab)
crt.sh
TLS certificates for the registered domain and its subdomains: when the site was set up and which subdomains exist.
Open crt.sh
↗
(new tab)
PhishDestroy domain report
Our report, if the domain is in the PhishDestroy database.
Open PhishDestroy domain report
↗
(new tab)Gera os cinco links; o crt.sh pesquisa %.example.co.uk, o domínio registrado segundo a Public Suffix List, para que todos os certificados dos subdomínios apareçam, e o link do relatório do PhishDestroy também usa example.co.uk.
O que ele verifica
| Sinal | O que isso significa |
|---|---|
| Tipo de entrada | Domínio, URL (qualquer coisa com esquema, caminho ou query) ou IP. Uma URL recebe consultas da URL exata no VirusTotal e no Safe Browsing; um domínio recebe consultas de domínio. |
| Domínio registrado | Calculado com a Public Suffix List, incluindo sufixos privados como github.io, então login.example.github.io pertence a example.github.io, não ao GitHub. |
| urlscan.io | Varreduras anteriores do host, ou de páginas servidas a partir de um IP. As capturas de tela mostram como a página era sem que você precise abri-la. |
| VirusTotal | Vereditos dos mecanismos para o domínio, a URL exata ou o IP. Zero detecções só significa que nenhum mecanismo o sinalizou ainda. |
| Google Safe Browsing | O status no Transparency Report: se o Chrome e outros navegadores exibem alerta para o site ou a URL. |
| crt.sh | Histórico de certificados do domínio registrado e de todos os seus subdomínios (%.registered-domain). Um primeiro certificado emitido nos últimos dias indica que o site é novo. |
| Relatório de domínio do PhishDestroy | A nossa página para o domínio registrado, que tem conteúdo se o domínio estiver na base de dados do PhishDestroy. |
| Endereços IP | Só urlscan.io e VirusTotal são oferecidos para um IP, porque as outras consultas funcionam com nomes. |
Mais exemplos
Endereço IP de documentação
203.0.113.45Links for the ip 203[.]0[.]113[.]45. Duas linhas: urlscan.io (Scans of pages served from this IP) e VirusTotal (Engine verdicts, passive DNS and related files for the IP).
URL de login neutralizada
hxxps://secure.example[.]org/login?next=/accountLinks for the url hxxps://secure[.]example[.]org/login?next=/account (registered domain example[.]org). VirusTotal e Safe Browsing consultam a URL exata, o urlscan.io pesquisa secure.example.org, o crt.sh pesquisa %.example.org e o relatório do PhishDestroy usa example.org.
Domínio simples
example.netLinks para o domínio example[.]net. Cinco linhas; o VirusTotal abre a página do domínio e o crt.sh pesquisa %.example.net.
Perguntas frequentes
Esta página consulta esses serviços?
Não. Ela só gera links, e nada é enviado até você abrir um deles; então aquele serviço vê o nome. Isso mantém um domínio suspeito fora dos logs de terceiros até você decidir consultá-lo.
O que cada serviço me diz?
O urlscan.io mostra varreduras anteriores com capturas de tela e redirecionamentos, o VirusTotal mostra vereditos de antivírus e de listas de bloqueio, o Safe Browsing mostra se os navegadores exibem alerta, o crt.sh lista certificados TLS (quando o site foi montado) e o relatório do PhishDestroy mostra as nossas evidências.
Por que o crt.sh faz uma busca em todo o domínio registrado?
Kits de phishing costumam ficar em muitos subdomínios de um mesmo domínio registrado. Pesquisar %.domínio-registrado, calculado com a Public Suffix List, lista todos os certificados emitidos para eles, e não só para o nome que você digitou.
Qual link devo abrir primeiro?
Para um link recebido em uma mensagem, comece pelo urlscan.io e pelo Safe Browsing: eles mostram como a página era e se os navegadores já a bloqueiam. O crt.sh diz o quão novo o site é, e o VirusTotal acrescenta os vereditos de muitos mecanismos.
Posso verificar um site em hospedagem gratuita ou em uma plataforma de nuvem?
Sim. A Public Suffix List trata serviços como github.io e pages.dev como sufixos, então a.b.example.pages.dev pertence a example.pages.dev. A pesquisa do crt.sh e o link do relatório do PhishDestroy usam esse nome, não o domínio da própria plataforma.
Um endereço IPv6 funciona?
Sim. Um endereço com dois-pontos é aceito com ou sem colchetes, e você recebe links do urlscan.io e do VirusTotal para ele.