Transforme uma lista de IOCs em STIX 2.1, JSON do MISP, CSV, regras Suricata ou um esqueleto YARA.
Nova
Neutralizador de URLs e extrator de IOCs
Execução local
A ferramenta em si está em inglês; esta página explica como usá-la no seu idioma.
Use Neutralizador de URLs e extrator de IOCs
O que ele faz
Neutralize URLs, endereços IP e endereços de e-mail para que possam ser compartilhados sem cliques acidentais; reative-os ou extraia os links http(s) e ftp, endereços IPv4 e e-mails de um bloco de texto na guia “IOC Extractor”.
Ele funciona inteiramente no seu navegador: nada do que você digitar é enviado.
Como usar Neutralizador de URLs e extrator de IOCs
- Escolha a aba. Use Defang & Refang para itens isolados que você já tem. Use IOC Extractor para extrair itens de um texto mais longo, como um e-mail, um chat ou um log.
- Cole a entrada. Em Defang & Refang, cole URLs, endereços IP ou endereços de e-mail, um por linha. Em IOC Extractor, cole o texto inteiro.
- Neutralize ou restaure. Clique em Defang (neutralizar) para tornar o texto não clicável, ou em Refang (restaurar) para converter um item neutralizado de volta ao normal. Copy copia a saída.
- Extraia e revise. Em IOC Extractor, clique em Extract & Defang IOCs. URLs, endereços IP e e-mails aparecem em três grupos, cada item neutralizado e marcado; desmarque as correspondências falsas.
- Copie ou repasse. Copy Selected IOCs copia os itens marcados, um por linha. Send to… passa a saída de Defang & Refang ao IOC Converter, ao Blocklist Converter ou ao Abuse Report Generator.
Exemplo
Três IOCs, um por linha
https://login.example.com/verify?id=42
203.0.113.7
support@example.nethxxps://login[.]example[.]com/verify?id=42
203[.]0[.]113[.]7
support[at]example[.]netDefang retorna hxxps://login[.]example[.]com/verify?id=42, 203[.]0[.]113[.]7 e support[at]example[.]net em linhas separadas; Refang os converte de volta.
O que ele verifica
| Sinal | O que isso significa |
|---|---|
| hxxp://, hxxps://, fxp:// | O esquema é substituído para que apps de chat e clientes de e-mail não transformem o texto em um link ativo. |
| [.] para cada ponto | Os pontos do host, do caminho e dos nomes de arquivo mudam todos, então login.php vira login[.]php. O Refang os restaura. |
| [at] para cada @ | Vale para endereços de e-mail e para qualquer @ dentro de uma URL. O Refang aceita [at] e (at). |
| Outros estilos de defang | O Refang também aceita [@], (at), (.), {.}, [ponto], (ponto) e [:], de modo que o texto que tiver sido “neutralizado” por outras ferramentas pode ser convertido de volta em uma única etapa. |
| Neutralizar duas vezes | As peças que já foram desbastadas permanecem como estão; portanto, desbastar duas vezes não muda nada. |
| Extracted URLs (n) | Texto que começa com http://, https:// ou ftp://, até um espaço, um colchete ou uma aspa. Um ponto final ou uma vírgula no fim de uma frase fica grudado, então confira o final de cada URL. |
| Extracted IP Addresses (n) | Quaisquer quatro grupos de 1 a 3 dígitos. Números de versão e valores acima de 255 também correspondem, e um IP dentro de uma URL é listado de novo aqui. |
| Extracted Emails (n) | Endereços que terminam em um ponto e pelo menos duas letras. Cada grupo lista cada item uma única vez. |
| No IOCs (URLs, IPs, or Emails) found in the text. | Nada correspondeu. Domínios simples como example.org e links já neutralizados não são extraídos. |
Mais exemplos
Página de login em um IP direto
http://198.51.100.23/admin/login.phphxxp://198[.]51[.]100[.]23/admin/login[.]php
Restaurar dois estilos
hxxps://wallet-verify[.]example/claim support(at)example(.)orghttps://wallet-verify.example/claim support@example.org
Extrair de um SMS de encomenda
Your parcel is on hold. Pay the fee at https://parcel-fee.example/pay?ref=88. Questions: help@parcel-fee.example. Server 203.0.113.45, see example.org/track, build 10.2.3.4.URLs (1): hxxps://parcel-fee[.]example/pay?ref=88[.] com o ponto final grudado. IP Addresses (2): 203[.]0[.]113[.]45 e 10[.]2[.]3[.]4. Emails (1): help[at]parcel-fee[.]example. example.org/track não é encontrado.
Perguntas frequentes
O que exatamente o Defang muda?
http://, https:// e ftp:// passam a ser hxxp://, hxxps:// e fxp://, todos os pontos se tornam [.] e todos os @ se tornam [at], incluindo pontos em caminhos e nomes de arquivos; partes que já foram neutralizadas permanecem como estão, portanto, neutralizar duas vezes não altera nada. O “Refang” reverte esse processo e também aceita [@], (at), (.), {.}, [dot], (dot) e [:].
O que o IOC Extractor encontra, e o que ele deixa passar?
Links que começam com http://, https:// ou ftp://, números com cara de IPv4 e endereços de e-mail. Domínios simples sem esquema e links já neutralizados não são extraídos, o padrão de IP também pega strings de versão como 1.2.3.4, e a pontuação final pode ficar grudada em uma URL, então revise a lista antes de copiar.
Meu texto é enviado a algum lugar?
Não. Neutralizar, restaurar e extrair são substituições de texto no seu navegador; nada é enviado e nenhum link é aberto.
Um link neutralizado se torna seguro para abrir?
Não. A neutralização só muda a aparência do texto. Depois de restaurado, o link leva à mesma página, então abra-o só em um navegador isolado ou em um scanner.
Quando devo restaurar antes de enviar?
Neutralize o texto que as pessoas vão ler, em chats, tickets ou postagens. Restaure-o quando for colar em um formulário, um scanner ou uma lista de bloqueio que espera URLs normais.
Ele lida com endereços IPv6?
Só em parte. O extrator procura apenas endereços IPv4. O Defang só altera um endereço IPv6 dentro de uma URL, onde o esquema vira hxxp ou hxxps; os dois-pontos ficam como estão.
Por que outras ferramentas do PhishDestroy neutralizam de outro jeito?
Ferramentas como o Archive Link Builder substituem apenas os pontos entre letras ou dígitos e escrevem @ como [@]. Essa ferramenta substitui todos os pontos e escreve [at]. O Refang aceita ambas as formas, portanto, os links gerados por qualquer uma das ferramentas podem ser convertidos de volta.