Поширені запитання

Наша Pipeline щодня обробляє тисячі доменів, проходячи 4 етапи:

Етап 1: Попереднє виявлення та імпорт даних

Ми використовуємо розподілену мережу Понад 30 власних парсерів щоб виявляти шкідливі домени на найранішій стадії:

• Журнали «Certificate Transparency» (CT) — моніторинг нових SSL-сертифікатів у режимі реального часу для виявлення фішингових доменів протягом декількох хвилин після їх реєстрації
• Моніторинг DNS — відстеження реєстрації нових доменів та підозрілих налаштувань
• Виявлення шкідливої реклами — постійний моніторинг Google Ads, результатів пошуку, на які впливає SEO, та популярних кампаній у соціальних мережах Twitter/X, YouTube та Telegram
• Типосквотинг — використання dnstwist та власних евристичних алгоритмів для виявлення схожих доменів, що націлені на відомі бренди
• Інформація від громади — отримання даних у режимі реального часу через наш бот у Telegram, електронну пошту та канали наших партнерів
• Агрегація новин про фішинг — інтеграція з понад 13 джерелами з спільноти, зокрема OpenPhish, PhishTank, URLhaus

Етап 2: Аналіз та оцінювання

• 95 двигунів AV через VirusTotal
• Розширення даних WHOIS/DNS (реєстратор, сервери імен, геолокація за IP-адресою, країна)
• Аналіз SSL-сертифікату (емітент, SAN, терміни дії)
• Зняття знімків екрана та зіставлення візуального контенту
• Ідентифікація фішингових наборів
• Розрахунок показника ризику (0–100) на основі понад 12 зважених сигналів

Етап 3: Звітність постачальників у всьому світі

Після підтвердження ми надсилаємо до Понад 50 продавців одночасно:

А також офіційні повідомлення про зловживання, надіслані реєстраторам доменів та хостинг-провайдерам разом із пакетами доказів.

Етап 4: Прозорість для громадськості

• Збереження змін у режимі реального часу в Репозиторій Destroylist
• Панель моніторингу в режимі реального часу за адресою phishdestroy.io/live
• Автоматичні сповіщення про Twitter, Telegram, і Мастодон
• Умовне повторне виявлення: повторні сповіщення, якщо загроза залишається активною довше ніж 24 години

Кожен домен отримує оцінка ризику від 0 до 100 на основі зважених сигналів:

Рівні серйозності:

70–100 КРИТИЧНИЙ40–69 ВИСОКИЙ20–39 СЕРЕДНІЙ1–19 НИЗЬКИЙ

Крім того, наші внутрішні звіти щодо доменів (на phishdestroy.io/domain) використовують окрему вдосконалену систему оцінювання, яка враховує результати виявлення VirusTotal, вік WHOIS-запиту, SSL-шаблони, аналіз вмісту, ступінь імітації бренду та історичні показники зловживань з боку реєстраторів за понад 12 показниками.

Здебільшого лише списки заблокованих список домени. Ми здійснюємо комплексний аналіз загроз:

• Попереднє виявлення — ми перехоплюємо домени через кілька хвилин після їх реєстрації, ще до того, як вони потрапляють до рук жертв
• Ретельне розслідування — ми відстежуємо криптовалютні транзакції в блокчейні, складаємо карту інфраструктури, декомпілюємо фішингові набори та встановлюємо зв’язки між кампаніями та їхніми операторами
• Доступ «на рівні кореневого каталогу» — ми отримали доступ до панелей «drainer», вихідного коду фішингового набору та журналів чатів операторів, що дало нам безпрецедентне уявлення про тактики, техніки та процедури (TTP) зловмисників
• Активна ліквідація — ми не просто позначаємо домени; ми надсилаємо пакети доказів реєстраторам, хостинг-провайдерам та понад 50 виробникам антивірусного програмного забезпечення і відстежуємо кожен домен, доки він не перестане існувати
• Перевірка вмісту — наші канали з перевіркою вмісту виходять за межі DNS: ми надсилаємо реальні HTTP-запити, щоб переконатися, що фішингова сторінка дійсно працює, та виявляємо спроби маскування
• Відповідальність реєстратора — ми публічно відстежуємо показники зловживань з боку реєстраторів та час їхнього реагування, тим самим забезпечуючи відповідальність недбалих провайдерів

Перевірка вмісту означає, що ми не просто перевіряємо, чи працює домен (DNS), а й фактично відвідуємо сторінку та перевіряємо, чи є на ній фішинговий вміст.

Це важливо, тому що шахраї використовують маскування: вони показують автоматизованим сканерам підроблені або порожні сторінки, тоді як жертвам-людям — справжню фішингову сторінку. Домен, який НЕ фігурує в нашому списку перевіреного вмісту, не це не означає, що це безпечно — можливо, це просто замасковано.

Наші канали з перевіреним контентом:

• Основний вміст — добірка доменів із підтвердженим активним фішинговим контентом (оновлюється кожні 12 годин)
• Контент спільноти — агреговані канали з перевіреним контентом (оновлюються кожні 24 години)

Для максимального захисту використовуйте наш Початкова школа — всі класи або Загальні питання спільноти канали, які містять усі домени незалежно від статусу перевірки вмісту.

Ні. Виявлення відбувається автоматично — класифікатори визначають підозрілі домени за лічені хвилини — але жодна інформація не надсилається реєстратору чи хостинг-провайдеру в автоматичному режимі. Кожен запит на ліквідацію, який ми надсилаємо, є висновком, перевіреним людиною та підкріпленим доказами, зробленим на основі повідомлень потерпілих та результатів нашого власного розслідування.

Те, що реєстратор фактично отримує від PhishDestroy, — це не загальне автоматичне повідомлення. Це конкретний електронний лист, у якому вказано конкретну причину, наводяться підтверджуючі факти, скріншоти та документація. У разі повторних або ескалаційних випадків ми додаємо точне пояснення того, що саме залишається не так, а також додаткові докази — виявлення VirusTotal, збіги з базою даних розвідки про загрози та відповідні індикатори.

Єдиними автоматичними повідомленнями в цьому листуванні є власні автоматичні підтвердження реєстраторів. З нашого боку — це обґрунтований висновок та офіційний запит щодо перевірки домену та вжиття відповідних заходів, а не автоматичний спам.

Наш рівень хибнопозитивних результатів становить менше 0.01%. Кожне автоматичне виявлення проходить кілька рівнів перевірки, перш ніж буде сформовано звіт. Ми дотримуємося таких принципів:

• Список дозволених — складений вручну перелік доменів, які, як відомо, є надійними і ніколи не позначаються як підозрілі
• 48-годинні апеляції — кожне помилкове спрацьовування перевіряється та швидко усувається
• Постійне вдосконалення класифікатора — ми відстежуємо результат кожного оскарження та оновлюємо логіку виявлення
• Перехресна валідація з використанням декількох джерел — домени повинні генерувати кілька сигналів, перш ніж їх буде підтверджено

Ми відстежуємо всі основні сімейства програм для викрадення коштів з гаманців та типи фішингових наборів:

• Зловживання функцією Wallet Connect — підроблені запити WalletConnect, що призводять до викрадення дозволів
• «Інферно Дрейнер» — один із найпродуктивніших «викачувачів» у різних ланцюгах
• Енджел Дрейнер — розширений дрейнер із підтримкою NFT
• Рожевий зливник — поєднання соціальної інженерії та «дрейну»
• Фішинг, пов’язаний з дозволами/схваленнями — Уразливості, пов’язані з затвердженням токенів ERC-20 (Permit2)
• Крадіжка фрази-насіння — підроблені форми «підтвердження гаманця» або «синхронізації гаманця»
• Шахрайство, пов’язане з AML/KYC — фальшиві сторінки з підтвердженням відповідності вимогам
• Шахрайство з айрдропами — фальшиві сторінки з обіцянками про видачу токенів
• Інвестиційні афери — фальшиві торгові платформи, піраміди
• Дрейнер «Солана» — Набори для виведення коштів із гаманців на платформі Solana

Перегляньте нашу базу даних за тип шахрайства, спосіб шахрайства або цільовий бренд.

Цей API «PhishDestroy Threat» є безкоштовний, відкритий API забезпечуючи оцінку ризиків доменів у режимі реального часу по всьому 834 тис.+ загроз. API-ключ не потрібен.

Кінцеві точки:

Приклад:

curl "https://api.destroy.tools/v1/check?domain=suspicious-site.xyz"

Відповідь містить: threat (логічне значення), risk_score (0-100), severity (критичний/високий/середній/низький), lists (які канали містять цей домен), а також last_seen мітка часу.

Ми пропонуємо 7 різних джерел даних через Репозиторій Destroylist:

Рекомендуємо: Використання list.json або active_domains.json для виробництва. Використовуйте blocklist.json для максимального охоплення.

Усі канали доступні в JSON та TXT формат. Списки кореневих доменів (без піддоменів, без урахування хостинг-провайдерів) також доступні окремо.

Кожен канал доступний у форматі 7 форматів для миттєвої інтеграції:

Усі формати доступні за адресою: github.com/phishdestroy/destroylist/tree/main/rootlist/formats/

Python:

import requests

r = requests.get(f"https://api.destroy.tools/v1/check?domain={domain}")
data = r.json()
if data["threat"]:
    print(f"BLOCKED: {data['severity']} (score: {data['risk_score']})")

JavaScript:

const r = await fetch(`https://api.destroy.tools/v1/check?domain=${domain}`);
const data = await r.json();
if (data.threat) console.warn("PHISHING:", data.severity, data.risk_score);

Масова перевірка (до 500 доменів):

curl -X POST "https://api.destroy.tools/v1/check/bulk" \
  -H "Content-Type: application/json" \
  -d '{"domains":["site1.com","site2.xyz","site3.top"]}'

Проста перевірка списку заблокованих (Bash):

curl -s https://raw.githubusercontent.com/phishdestroy/destroylist/main/list.txt \
  | grep -q "suspicious-domain.com" && echo "BLOCKED"

Списки кореневих елементів містять лише домени верхнього рівня — без піддоменів, а хостинг-провайдери (Vercel, Pages.dev, Netlify тощо) не враховуються. Це робить їх ідеальними для:

• Правила брандмауера — блокувати цілі домени, а не лише окремі піддомени
• Блокування DNS — безпечний для DNS-резолверів, без ризику блокування легітимних хостингових платформ
• Аналіз реєстру — очищені дані для розрахунку рівня зловживань

Доступні три варіанти:

• Усі корені — усі підтверджені кореневі домени
• Тільки в прямому ефірі — Активні кореневі сервери, перевірені за допомогою DNS
• Тільки послуги — окреме розміщення субдоменів на хостингових платформах (Vercel, Pages.dev, Netlify тощо)

Кожен звіт про домен — це вичерпне розвідувальне досьє, що містить:

• Оцінка ризику — Комплексний рейтинг загрози від 0 до 100 із класифікацією за ступенем серйозності
• Результати VirusTotal — результати виявлення від 95 антивірусних двигунів із розбивкою за виробниками
• Знімок екрана — візуальний знімок, зроблений під час сканування (понад 75 тис. скріншотів, збережених локально)
• Дані WHOIS — реєстратор, дата створення, відомості про реєстранта, сервери імен
• Записи DNS — A, MX, NS, TXT із геолокацією за IP-адресою та прапорцями країн
• SSL-сертифікат — емітент, термін дії, альтернативні імена суб’єкта (SAN)
• Статус списку заблокованих — присутність у понад 11 основних списках заблокованих ресурсів з міркувань безпеки
• Тип шахрайства — викрадення коштів з гаманця, крадіжка фраз-насіння, шахрайство з айрдропами, інвестиційне шахрайство тощо.
• Орієнтовані на конкретні бренди — під який законний бренд здійснюється підробка (понад 350 брендів, що відстежуються)
• Пов’язані домени — інші домени, які використовують спільну інфраструктуру, фавікон або фішинговий набір
• Cloudflare Radar — стан класифікації доменів
• Сканування URLQuery — додатковий аналіз безпеки

Можливі причини:

• Ваш домен був раніше скомпрометовані і використовуються для фішингу без вашого відома
• Ваш домен використовує ту саму інфраструктуру (IP-адресу, сервери імен), що й відомі фішингові домени
• Автоматизований класифікатор визначив помилковий позитивний результат — це трапляється у <0,01 % випадків
• Хтось повідомив про ваш домен через канали спільноти

Важливо: PhishDestroy безпосередньо не блокує домени. Ми надсилаємо повідомлення виробникам антивірусного програмного забезпечення та реєстраторам, які самостійно приймають рішення щодо блокування. Якщо ваш домен було помилково позначено як підозрілий, подати апеляцію — ми відповідаємо протягом 48 годин і додаємо домени, що пройшли перевірку, до нашого постійного списку дозволених.

Два способи оскарження:

1. Форма подання апеляції (найшвидше) — подайте заявку на свій домен, надавши підтвердження його легітимності
2. Запит на GitHub — створити заявку з додаванням доказів

Процес:

• Ми розглядаємо в межах 48 годин (переважно в той самий день)
• У разі схвалення домен додається до нашого постійного списку список дозволених
• Список дозволених адрес є загальнодоступним: allowlist.json
• Зміни миттєво відображаються в нашому API та базі даних

Весь процес є абсолютно безкоштовним. Ми ніколи не стягуємо плату за оскарження або виключення з переліку — ніколи не стягували і ніколи не будемо.

Ми повністю переробили весь процес обробки скарг та виявлення помилкових спрацьовувань. Тепер він працює набагато швидше, є надійнішим і значною мірою автоматизований: а довірчий домен (увійшла до світового рейтингу Tranco) разом із нульові значення струму вилучено з лістингу автоматично, за лічені хвилини щодо подання апеляції — без очікування на відповідь від оператора. Усе інше розглядається нашою командою у межах 48-годинного SLA.

Наш фактичний рівень хибнопозитивних результатів становить менше 0,01 %. Якщо ми все-таки припускаємося помилки, ми швидко її виправляємо і робимо це відкрито — ми не боїмося визнавати свої помилки.

Ми виступаємо за відкритість та можливість перевірки. Кожне додавання та кожне видалення є публічним і підлягає перевірці в нашому відкритому репозиторії, github.com/PhishDestroy/destroylist — повна історія того, що ми додаємо до списку та вилучаємо з нього, доступна для перегляду будь-кому. За запитом ми також можемо надати інформацію про терміни обробки, перелік відхилених апеляцій із зазначенням причин, а також докази, на яких ґрунтується будь-яке внесення до списку.

Видалення з реєстру завжди безкоштовне. Будь-хто, хто бере гроші за видалення вашого профілю з PhishDestroy, займається шахрайством.

Нічого. Нуль. Безкоштовно. Завжди.

Будь-яка третя сторона, яка стверджує, що може за певну плату видалити ваш домен із списку PhishDestroy, займається шахрайство. У нас немає платної програми з видалення з реєстру, і такої ніколи не буде. Повідомляйте нам про такі послуги.

PhishDestroy — це лише одне з багатьох джерел. Навіть після того, як ми очистимо ваш домен, інші системи можуть і надалі позначати його як підозрілий:

• Google Safe Browsing — надіслати на safebrowsing.google.com
• Виробники антивірусних програм — кожен з них веде власні списки заблокованих користувачів; зверніться до каналу повідомлення про порушення політики кожного постачальника
• Попередження браузера — може зберігати старі дані в кеші протягом 24–48 годин

Перевірте свій домен на VirusTotal щоб з’ясувати, які саме постачальники вказують на це, а потім зв’язатися з кожним із них окремо.

Подаючи повідомлення про зловживання, ми дотримуємося стандартів ICANN:

• Офіційні повідомлення про зловживання реєстраторам через контактні адреси, призначені для повідомлень про зловживання системою WHOIS
• Повні пакети доказів — результати сканування, знімки екрана, звіти у форматі PDF з метаданими
• ICANN вимагає реєстратори повинні розглядати скарги щодо зловживань протягом 24 годин
• Умовне повторне виявлення — якщо домен залишається активним через 24 години, ми переводимо справу на вищий рівень, надсилаючи подальші сповіщення

Коли на домен надходить 10–30 і більше повідомлень про зловживання, а реєстратор протягом місяців продовжує їх ігнорувати, ми публічно висвітлюємо цей факт. Реєстратор більше не залишається пасивним — він фактично забезпечує інфраструктуру для незаконної діяльності. Наш публічна база даних забезпечує підзвітність.

Час має вирішальне значення. Дійте негайно:

1. Скасуйте дозволи на використання токенів НЕЗАБАРОМ — перейти до revoke.cash негайно скасувати всі затвердження гаманців, що знаходяться на розгляді. Це зупинить поточний відтік коштів.
2. Зв’яжіться з SEAL 911 — оперативне реагування на криптоінциденти силами фахівців з безпеки. Відвідайте phishdestroy.io/critical-action
3. Переказати залишок коштів — перевести всі активи з скомпрометованого гаманця в новий, «чистий» гаманець
4. Звернутися до поліції — подайте заяву про кіберзлочин до місцевої поліції. Отримайте номер справи.
5. Опублікувати звіт — файл про Chainabuse щоб попередити інших і залишити документальні докази
6. Збережіть УСІ докази — адреси гаманців, ідентифікатори транзакцій, скріншоти, історії чатів, електронні листи, фішингові URL-адреси

НЕ звертайтеся до «служб відновлення даних», знайдені в Інтернеті. Понад 95 % з них — це вторинні шахрайські схеми, спрямовані проти жертв.

Іноді, але тільки якщо ви діятимете швидко:

• Затвердження токенів, які ще не виконано: Якщо ви підписали лише шкідливий дозвіл, його можна скасувати за адресою revoke.cash негайно запобігає подальшим втратам
• Виведення коштів з CEX: Якщо зловмисник переказує кошти на Binance, Coinbase тощо, правоохоронні органи можуть заблокувати рахунки — але для цього їм потрібна ваша заява в поліцію
• Паузи в мосту: Деякі міжланцюгові мости призупиняли транзакції, коли про випадки шахрайства повідомлялося оперативно

Погляд на реальність: Більшість випадків крадіжок криптовалюти в ланцюжку блоків є незворотними. Найкращий захист — це профілактика: використовуйте апаратні гаманці, перевіряйте URL-адреси та ніколи не розголошуйте сид-фрази.

Ознаки небезпеки:

• Невідповідність URL-адреси — «metamask-login.com» замість «metamask.io»
• Формулювання, що вказують на терміновість — «Дійте негайно, інакше втратите доступ», «Ваш гаманець буде заблоковано»
• Запити щодо фрази насіння — ЖОДНА легітимна служба НІКОЛИ не попросить вас надати вашу фразу-насіння
• Несподівані спливаючі вікна з гаманцем — Запити WalletConnect або MetaMask, які ви не ініціювали
• Занадто добре, щоб бути правдою — безкоштовні роздачі, гарантований прибуток, «отримайте свою винагороду»
• Реклама в соціальних мережах — фішери активно використовують платну рекламу в Twitter, Google та Telegram
• Шахрайство через особисті повідомлення та відповіді — «служба підтримки клієнтів» зв’яжеться з вами першою

Захист: Завжди перевіряйте домени на сайті phishdestroy.io/domain або скористайтеся нашим Бот у Telegram перед тим, як підключити свій гаманець. Ознайомтеся з нашим повним посібником: Основи безпеки криптовалют

Майже ніколи. Понад 95 % «служб реабілітації» — це вторинні шахрайські схеми націлені на людей, які вже втратили гроші.

Ознаки небезпеки:

• Вони гарантують відновлення (що неможливо гарантувати)
• Вони вимагають попередньої оплати
• Вони знайшли вас завдяки коментарям у соціальних мережах про те, що вас обдурили
• Вони стверджують, що є «етичними хакерами», які можуть «скасувати транзакції»
• Вони просять надати вашу фразу-насіння або доступ до гаманця

Допомога від офіційних джерел (усе безкоштовно): SEAL 911, місцеві правоохоронні органи, служба підтримки вашої біржі, Chainabuse для оприлюднення інформації.

Перейти до розділу «Адміністрація Pi-hole» → Налаштування → Списки заблокованих → вставте це URL-адресу:

https://raw.githubusercontent.com/phishdestroy/destroylist/main/rootlist/formats/primary_active/hosts.txt

Збережіть та оновлюйте Gravity. Список автоматично оновлюється згідно з розкладом Pi-hole.

uBlock Origin: Налаштування → Списки фільтрів → Імпорт → вставити:

https://raw.githubusercontent.com/phishdestroy/destroylist/main/rootlist/formats/primary_active/adblock.txt

AdGuard Home: Фільтри → Списки заблокованих DNS-адрес → Додати список заблокованих → вставте ту саму URL-адресу.

Для DNS-резолвера Unbound (pfSense/OPNsense):

https://raw.githubusercontent.com/phishdestroy/destroylist/main/rootlist/formats/primary_active/unbound.conf

Для BIND або Knot DNS (формат RPZ):

https://raw.githubusercontent.com/phishdestroy/destroylist/main/rootlist/formats/primary_active/rpz.zone

Для Dnsmasq:

https://raw.githubusercontent.com/phishdestroy/destroylist/main/rootlist/formats/primary_active/dnsmasq.conf

Так! Ось як це зробити:

• Повідомити про фішингові домени — Бот у Telegram або abuse@phishdestroy.io
• Інтегруйте наші списки заблокованих адрес — додати Список для знищення у ваші налаштування DNS, брандмауера або засобів безпеки
• Скористайтеся нашим API — створюйте інструменти, боти або інформаційні панелі за допомогою API загроз
• Надіслати PR — вдосконалення алгоритмів виявлення, поради щодо інтеграції, свіжа інформація
• Поширюйте інформацію — поділіться результатами нашого дослідження в соціальних мережах

Ми не приймаємо пожертви — найкращий спосіб підтримати нас — це зробити наші дані корисними.

Наші дані (ліцензія MIT) використовуються для:

• Мережева безпека — правила брандмауера, блокування DNS, фільтрування електронної пошти
• Автоматизація — Інтеграція SIEM/SOC, автоматизоване реагування на інциденти
• Дослідження загроз — аналіз фішингових кампаній, тенденції щодо підробки брендів
• Навчання в галузі машинного навчання та штучного інтелекту — набори даних для навчання моделі виявлення фішингу
• Аналіз тенденцій — показники зловживань з боку реєстраторів, закономірності ризиків у доменних іменах верхнього рівня, еволюція «дрейнерів»
• Правові докази — звіти про домени з позначкою часу для правоохоронних органів та страхових претензій

Історичний склеп: Понад 500 000 доменів, заархівованих за понад 5 років. Зв’язатися з нами contact@phishdestroy.io для доступу.