Tìm liên hệ abuse của nhà đăng ký và của mạng cho một tên miền hoặc IP từ RDAP.
Mạng: RDAP + DoHMới
Trình tạo báo cáo lạm dụng
Chạy cục bộMới
Công cụ này được hiển thị bằng tiếng Anh; trang này giải thích về công cụ đó bằng ngôn ngữ của bạn.
Sử dụng Trình tạo báo cáo lạm dụng
Chức năng của nó là gì?
Nhập URL, địa chỉ IP, thời gian và bằng chứng về một trang phishing hoặc lừa đảo để nhận một email báo cáo lạm dụng sẵn sàng gửi cho nhà đăng ký, nhà cung cấp hosting hoặc CDN của trang đó. Hash của tệp được tính trong trình duyệt của bạn và không có gì được gửi đi đâu cả.
Ứng dụng này hoạt động hoàn toàn trên trình duyệt của bạn: mọi thông tin bạn nhập vào đều không được tải lên.
Cách sử dụng Trình tạo báo cáo lạm dụng
- Chọn loại người nhận và loại tấn công. Trong Report to (gửi đến), chọn Registrar, Hosting provider hoặc CDN / reverse proxy. Trong Attack type (loại tấn công), chọn mục gần đúng nhất trong sáu lựa chọn, chẳng hạn Phishing hoặc Crypto wallet drainer.
- Nhập những gì bạn đã thấy. Dán các URL, mỗi dòng một URL; các dạng đã defang như hxxps:// và [.] sẽ được chuyển lại thành URL thật. Để trống Domain để dùng tên miền đăng ký được (registrable domain) của URL đầu tiên, và thêm địa chỉ IP nếu bạn biết.
- Đặt thời gian. Điền First seen (thấy lần đầu) và Last seen (thấy lần cuối); các giá trị được hiểu theo UTC và hiển thị dạng ISO dưới mỗi trường. Nút Now đặt Last seen thành thời điểm hiện tại.
- Thêm bằng chứng. Dán các mã hash, hoặc kéo thả tệp vào để lấy SHA-256 của chúng ngay trong trình duyệt. Thêm liên kết kết quả quét và một mô tả ngắn về những gì trang đó yêu cầu.
- Tạo và sửa lỗi. Nhấn Generate report (tạo báo cáo). Các mục màu đỏ Fix before sending (cần sửa trước khi gửi) chặn báo cáo; các mục màu vàng Check là lời khuyên. Sau báo cáo đầu tiên, văn bản sẽ tự cập nhật khi bạn chỉnh sửa.
- Gửi đi. Sao chép tiêu đề và nội dung, mở chúng trong ứng dụng thư, hoặc tải xuống tệp .txt hoặc .json. Với Cloudflare, hãy dán nội dung vào biểu mẫu báo cáo lạm dụng của họ.
Ví dụ
Wallet drainer trên một tên miền nhái
hxxps://connect.wallet-verify[.]example/claimFind the registrar's abuse address with Abuse Contact Lookup. Section 3.18 of the RAA binds ICANN-accredited registrars of gTLDs (.com, .net, .xyz and the other generic TLDs); for country-code domains the report cites the registry's policy instead.
Subject
Abuse report: crypto wallet drainer domain wallet-verify[.]example (impersonating Example Wallet)
Body
Hello abuse team,
I am reporting the domain name wallet-verify.example, registered through your company. It is used for a crypto wallet drainer: a fake site that asks visitors to connect a wallet and sign transactions that send their funds to the attacker, impersonating Example Wallet.
Details
Attack type: Crypto wallet drainer
Brand: Example Wallet
Domain: wallet-verify.example
URLs: https://connect.wallet-verify.example/claim
IP addresses: 192.0.2.10
First seen: 2026-10-19T08:00:00Z (UTC)
Last seen: 2026-10-20T09:30:00Z (UTC)
Evidence
https://urlscan.io/result/00000000-0000-4000-8000-000000000000/
Description
The page copies the Example Wallet site and asks visitors to connect a wallet and sign a token approval for all their assets.
Request
Section 3.18 of the ICANN Registrar Accreditation Agreement requires accredited registrars to investigate abuse reports and, when there is actionable evidence that a domain name is used for DNS abuse such as phishing or malware, to take prompt mitigation action. Please suspend this domain name (for example with the clientHold status) so that it stops resolving, and lock it against transfer while you investigate.
Please confirm that
…Một báo cáo gửi nhà đăng ký cho wallet-verify.example: dòng tiêu đề chứa tên miền đã defang, phần nội dung chứa URL thật, IP 192.0.2.10, thời điểm thấy lần đầu và lần cuối theo UTC, một liên kết urlscan.io và yêu cầu tạm ngưng có viện dẫn mục 3.18 của ICANN RAA.
Nó kiểm tra những gì
| Tín hiệu | Ý nghĩa của điều đó là gì |
|---|---|
| Report to | Registrar yêu cầu tạm ngưng (ví dụ clientHold) và khóa chuyển nhượng. Hosting provider yêu cầu gỡ nội dung và lưu giữ nhật ký. CDN yêu cầu cho biết máy chủ gốc, chuyển tiếp báo cáo và hiển thị trang cảnh báo. |
| Attack type | Báo cáo về phishing, drainer và mã độc gửi đến nhà đăng ký gTLD sẽ viện dẫn hành vi lạm dụng DNS theo mục 3.18 của RAA và yêu cầu xử lý kịp thời. Với đầu tư giả, hỗ trợ kỹ thuật giả và các hình thức lừa đảo khác, văn bản chỉ nêu rằng nhà đăng ký phải điều tra và phản hồi thích đáng. |
| Tên miền lấy từ các URL | Tên miền đăng ký được của URL đầu tiên có tên máy chủ, được xác định bằng Public Suffix List, nên connect.wallet-verify.example trở thành wallet-verify.example. URL dùng địa chỉ IP trần không cho ra tên miền nào. |
| Fix before sending | Ví dụ: URL không có http://, https:// hoặc ftp://, IP hoặc hash không hợp lệ, ngày sai, Last seen sớm hơn First seen, địa chỉ email không hợp lệ, hoặc liên kết bằng chứng không phải liên kết web. |
| Cảnh báo Check | Một TLD mã quốc gia (RAA không áp dụng), một tên miền trên nền tảng dùng chung (hãy dùng mẫu hosting), một ngày trong tương lai, báo cáo gửi nhà đăng ký mà không có tên miền, hoặc chưa có bằng chứng. |
| Thiết lập defang | Mặc định chỉ áp dụng cho tiêu đề, để bộ lọc thư không coi báo cáo của bạn là phishing trong khi bộ phận xử lý abuse vẫn nhận được liên kết thật. Bạn cũng có thể defang các chỉ báo trong phần nội dung, hoặc không defang gì cả. |
| Hash bằng chứng | MD5, SHA-1, SHA-256 hoặc SHA-512 dạng hex, mỗi dòng một giá trị, có thể kèm tên tệp. Các tệp kéo thả vào, tối đa 50 MB mỗi tệp, được tính hash bằng SHA-256 và không bao giờ bị tải lên. |
| Liên kết mailto dài | Nếu liên kết thư dài hơn 2.000 ký tự, một ghi chú sẽ cảnh báo rằng một số ứng dụng thư cắt bớt nó. Hãy dùng Copy thay thế. |
Các ví dụ khác
Báo cáo gửi hosting cho một trang trên IP trần
Report to: Hosting provider · Attack: Phishing · URL: hxxp://198.51.100.23/secure/login.php · IP: 198.51.100.23 · Brand: Example Bank · First seen: 2026-10-21 14:05Tiêu đề: Abuse report: phishing content at hxxp://198[.]51[.]100[.]23/secure/login[.]php on 198[.]51[.]100[.]23 (impersonating Example Bank). Phần nội dung liệt kê URL thật, IP và First seen 2026-10-21T14:05:00Z (UTC), đồng thời yêu cầu gỡ nội dung và lưu giữ nhật ký. Một hộp Check ghi chú rằng chưa có bằng chứng nào được thêm.
Báo cáo gửi CDN về một bản cập nhật giả
Report to: CDN / reverse proxy · Attack: Malware delivery · URL: https://update.example.org/chrome-update.exe · Description: fake browser updateTiêu đề: Abuse report: malware delivery site example[.]org served through your network. Phần nội dung yêu cầu nhà cung cấp cho biết nhà cung cấp hosting, chuyển tiếp báo cáo và hiển thị trang cảnh báo, và không chia sẻ thông tin liên hệ của bạn.
Đầu vào cần phải sửa
Report to: Registrar · URL: login.example.net/verify · First seen: 2026-10-21 10:00 · Last seen: 2026-10-20 10:00 · Hash: 12345 kit.zipKhông có báo cáo. Mục Fix before sending liệt kê: Not a URL (phải bắt đầu bằng http://, https:// hoặc ftp://), Not a hash, và Last seen is earlier than first seen. Một hộp Check bổ sung: No evidence yet.
Câu hỏi thường gặp
Ba mẫu báo cáo yêu cầu những gì?
Mẫu cho nhà đăng ký yêu cầu tạm ngưng tên miền (ví dụ clientHold) và khóa chuyển nhượng, viện dẫn mục 3.18 của Thỏa thuận công nhận nhà đăng ký ICANN (RAA) đối với các TLD chung (generic TLD). Mẫu cho hosting yêu cầu gỡ bỏ nội dung và lưu giữ nhật ký, còn mẫu cho CDN yêu cầu nhà cung cấp cho biết máy chủ gốc (origin), chuyển tiếp báo cáo và hiển thị cảnh báo phishing.
Trình tạo có kiểm tra xem trang có độc hại không?
Không. Nó định dạng những gì bạn nhập và chỉ kiểm tra hình thức: cú pháp URL, địa chỉ IP, hash và ngày tháng, thời điểm thấy lần cuối phải sau thời điểm thấy lần đầu, và phải có tên miền đối với báo cáo gửi nhà đăng ký. Bằng chứng có đủ hay không là do bạn quyết định, và việc viện dẫn RAA chỉ áp dụng cho các nhà đăng ký được ICANN công nhận đối với TLD chung.
Báo cáo hoặc thông tin liên hệ của tôi có bị gửi đi đâu không?
Không. Báo cáo được tạo trong trình duyệt của bạn và các tệp được kéo thả vào được tính hash ngay trên máy mà không bị tải lên. Báo cáo chỉ rời khỏi trang khi bạn sao chép, mở nó trong ứng dụng thư hoặc tải xuống.
Tôi nên báo cáo cho nhà đăng ký, hosting hay CDN?
Nhà đăng ký có thể khiến tên miền ngừng phân giải; hosting có thể gỡ trang; CDN có thể tiết lộ máy chủ thật và hiển thị cảnh báo. Việc gửi các báo cáo riêng cho nhà đăng ký và cho mạng đứng sau IP là phổ biến. Abuse Contact Lookup tìm được cả hai địa chỉ.
Làm sao báo cáo một trang nằm sau Cloudflare?
Chọn mẫu CDN. Cloudflare nhận báo cáo lạm dụng qua biểu mẫu tại abuse.cloudflare.com, danh mục Phishing & Malware, vì vậy hãy dán nội dung đã tạo vào đó thay vì gửi email.
Tệp JSON tải xuống chứa những gì?
Thời điểm tạo, mẫu, loại tấn công, thương hiệu, tên miền, URL, IP, thời điểm thấy lần đầu và lần cuối, liên kết và hash bằng chứng, mô tả, người nhận, tên và email của bạn nếu bạn đã nhập, cùng tiêu đề và nội dung. Tệp này tiện cho việc theo dõi bạn đã báo cáo những gì và khi nào.