Phishing-Link-Detektor

• Umfassende Phishing-Erkennung: Prüft URLs anhand von mehr als 40 Phishing-Regeln für verdächtige TLDs (.tk,.ml,.ga,.cf,.gq,.click,.download), Domain-Täuschungsmuster (ähnliche Domains, übermäßige Subdomains, Markenidentität), Schlüsselwörter zum Sammeln von Anmeldeinformationen (Passwort, Login, Verifizierung, Konto), URL-Verschleierungsversuche (codierte Zeichen, Schmuggel von @-Zeichen, IP-Adresse). URLs), verkürzte URL-Dienste (bit.ly, tinyurl, ow.ly, is.gd) und Protokollanomalien (file://, data://, ftp://). Jede Regel verfügt über einen Schweregradwert für eine genaue Risikobewertung.
• Deep Document Scanning: Scannt die interne Struktur von Office-Dokumenten (DOCX, XLSX, PPTX) durch Analyse ihres Open XML-Formats und untersucht dabei Dokumentkörper, Kopf-/Fußzeilen, Arbeitsblätter, Folien, gemeinsame Zeichenfolgen, Hyperlink-Beziehungen und Fußnoten/Endnoten. Extrahiert bei PDFs URL-Muster aus dem Rohtextinhalt. Erkennt außerdem automatisch ausgeführte VBA-Makros (Auto_Open, Document_Open, Workbook_Open), die häufig in Phishing-Nutzlasten verwendet werden.
• Detaillierte URL-Analyse und -Analyse: Jede extrahierte URL wird vollständig in Komponenten analysiert: Protokoll, Hostname, Domäne, TLD, Subdomäne, Pfad, Abfrageparameter und Fragment. Die analysierten Komponenten werden verwendet, um ähnliche Domänen (g00gle → Google, paypa1 → paypal, rnicrosoft → microsoft), verdächtige TLDs und komplexe Domänenstrukturen zu erkennen. Jede URL erhält einen Verdachtswert von 0 bis 100 mit eindeutiger Kennzeichnung (sicher, niedrig, verdächtig, hoch, kritisch).
• Extraktion von Dokumentmetadaten: Extrahiert eingebettete Dokumentmetadaten zusammen mit der URL-Analyse – Autor, Ersteller, Erstellungsdatum, Änderungsdatum und Dokumenttitel. Diese Metadaten helfen Sicherheitsanalysten, die Herkunft des Dokuments zu verstehen und können Inkonsistenzen aufdecken (z. B. ein Dokument, das angeblich von einer Organisation stammt, aber mit unterschiedlichen Autoreninformationen erstellt wurde). Alle Metadaten werden neben den URL-Scan-Ergebnissen angezeigt.

• Sicherheitsüberprüfung von E-Mail-Anhängen: Sicherheitsexperten können E-Mail-Anhänge vor dem Öffnen scannen, um eingebettete Phishing-Links zu erkennen. Office-Dokumente und PDFs sind gängige Phishing-Versandmittel – Angreifer betten bösartige URLs in scheinbar legitime Dokumente ein. Dieses Tool deckt alle eingebetteten Links auf und markiert verdächtige Muster. So können Sicherheitsteams bösartige Anhänge identifizieren, ohne sie in einer Live-Umgebung öffnen zu müssen.
• Phishing-Sensibilisierungsschulung: Organisationen, die Programme zur Phishing-Sensibilisierung durchführen, können den Detektor verwenden, um simulierte Phishing-E-Mails und -Dokumente zu analysieren. Zeigen Sie den Auszubildenden, wie verdächtige Muster aussehen, demonstrieren Sie, wie scheinbar legitime URLs täuschen können, und erklären Sie die technischen Indikatoren, die Phishing-Versuche aufdecken. Das Bewertungssystem für den Schweregrad liefert ein klares pädagogisches Feedback.
• Dokumentenprüfung und Due Diligence: Bevor Dokumente extern geteilt oder auf Websites veröffentlicht werden, können Rechts- und Compliance-Teams nach eingebetteten Tracking-Links, Analyse-URLs oder verdächtigen Ressourcen Dritter suchen. Das Tool trägt dazu bei, dass freigegebene Dokumente keine unerwarteten externen Links enthalten, die den Datenschutz gefährden oder vertrauliche Informationen preisgeben könnten.
• Reaktion auf Vorfälle und Forensik: Bei der Untersuchung von Sicherheitsvorfällen können Analysten verdächtige Dokumente scannen, die auf kompromittierten Systemen gefunden werden. Das Tool extrahiert alle URLs, markiert bekannte Phishing-Indikatoren und erstellt einen detaillierten Bericht, der in die Vorfalldokumentation aufgenommen werden kann. Die vollständige URL-Analyse hilft Analysten, die Infrastruktur hinter Phishing-Kampagnen zu verstehen.
• Sicherheitsforschung und Bedrohungsanalyse: Sicherheitsforscher können Phishing-Kits und bösartige Dokumente analysieren, um URL-Muster zu katalogisieren, die von Bedrohungsakteuren genutzte Infrastruktur zu identifizieren und Erkennungssignaturen zu erstellen. Das umfassende Kennzeichnungssystem liefert detaillierte Ausgaben, die zum Erstellen von YARA-Regeln, SIEM-Benachrichtigungen oder E-Mail-Sicherheitsfiltern verwendet werden können.
• Cybersicherheitsausbildung: Schüler, die etwas über Social Engineering und Phishing-Angriffe lernen, können das Tool verwenden, um zu verstehen, wie Phishing-Dokumente funktionieren. Laden Sie echte oder simulierte Phishing-Dokumente hoch, um die technischen Indikatoren zu sehen, mehr über URL-Verschleierungstechniken zu erfahren und zu verstehen, warum bestimmte Muster als verdächtig gelten. Ein hervorragendes praktisches Tool für Cybersicherheitskurse.

Bei der Erkennung von Phishing-Links in Dokumenten werden Office-Dokumente und PDFs nach eingebetteten URLs durchsucht und anhand bekannter Phishing-Indikatoren analysiert. Angreifer betten häufig bösartige URLs in scheinbar legitime Dokumente ein – ein Rechnungs-PDF mit einem Link zu einer gefälschten Anmeldeseite, ein Word-Dokument mit eingebetteten Tracking-URLs oder eine Excel-Tabelle mit Links zu Websites zum Sammeln von Anmeldeinformationen. Unser Tool untersucht die interne Struktur dieser Dokumente (Open XML für Office-Formate, Rohtext für PDFs), um jede externe URL zu extrahieren, und prüft dann jede URL anhand einer Datenbank mit über 40 Phishing-Regeln, die Domain-Täuschung, verdächtige TLDs, Schlüsselwörter für Anmeldeinformationen, Protokollanomalien, URL-Verschleierung, verkürzte URLs und bekannte Phishing-Muster abdecken. Jede URL erhält einen Verdachtswert von 0 (sicher) bis 100 (kritisch). Das Tool erkennt auch automatisch ausgeführte VBA-Makros (Auto_Open, Document_Open, Workbook_Open), die ein häufiger Phishing-Vektor für die Bereitstellung von Malware-Nutzlasten sind.

• Verdächtige TLDs: Kostenlose und nicht vertrauenswürdige Top-Level-Domains, die häufig in Phishing-Kampagnen verwendet werden –.tk (Tokelau),.ml (Mali),.ga (Gabun),.cf (Zentralafrikanische Republik),.gq (Äquatorialguinea),.click und.download. Diese TLDs sind beliebt, weil die Registrierung kostenlos oder sehr günstig ist und sie häufig über schwache Mechanismen zur Missbrauchsmeldung verfügen.
• Domain-Täuschung und Lookalikes: Angreifer erstellen Domains, die optisch vertrauenswürdigen Marken ähneln – indem sie Nullen anstelle von Buchstaben (g00gle, micr0s0ft), Großbuchstaben „I“ anstelle von Kleinbuchstaben „l“ (paypaI, appIe), vertauschte Buchstaben (rnicrosoft) oder das Hinzufügen irreführender Präfixe (secure-google, login-paypal, verify-amazon) verwenden. Unser Tool prüft auf mehr als 15 gängige Lookalike-Muster und markiert verdächtige Subdomain-Strukturen.
• Schlüsselwörter für Anmeldeinformationen und Sicherheit: URLs mit Schlüsselwörtern im Zusammenhang mit dem Sammeln von Anmeldeinformationen – Anmelden, Anmelden, Verifizieren, Bestätigen, Konto, Passwort, Authentifizierung und Sicherheit. Phishing-URLs verwenden diese Wörter häufig im Pfad oder in der Subdomain, um Benutzern vorzutäuschen, dass sie sich auf einer legitimen Authentifizierungsseite befinden.
• URL-Verschleierung: Techniken, die verwendet werden, um das wahre Ziel einer URL zu verbergen, einschließlich Schmuggel von @-Zeichen-Anmeldeinformationen (http://[email protected]), Täuschungen bei der Umleitung durch doppelte Schrägstriche (http://example.com//evil.com), stark codierte URLs mit mehreren prozentcodierten Zeichen, IP-Adress-URLs, die Domain-Reputation-Systeme umgehen, und verkürzte URL-Dienste (bit.ly, tinyurl, ow.ly), die das endgültige Ziel verschleiern.
• Protokollanomalien: Ungewöhnliche URL-Protokolle in Dokumenten wie file:// (lokaler Dateizugriff), data:// (Inline-Datenausführung) und ftp:// (Datenexfiltration). Diese kommen in legitimen Dokumenten selten vor, kommen aber bei Phishing- und Malware-Angriffen häufig vor.

1. Dokumentparsing: Das Tool erkennt zunächst den Dokumenttyp, indem es den Dateiheader (magische Bytes) liest – ZIP-Header für Office-Formate (DOCX, XLSX, PPTX) und %PDF-Header für PDF-Dateien. Für Office-Dokumente dekomprimiert JSZip die ZIP-Struktur und wir analysieren den XML-Inhalt aus jeder internen Komponente: Dokumentkörper (word/document.xml), Kopf-/Fußzeilen, Arbeitsblätter (xl/worksheets/sheetN.xml), Folien (ppt/slides/slideN.xml), freigegebene Zeichenfolgentabellen und Hyperlink-Beziehungen (.rels-Dateien). Für PDFs extrahieren wir Textinhalte mithilfe eines Regex-Mustervergleichs in der Rohbinärdatei.
2. URL-Extraktion: Der gesamte extrahierte Text wird mit URL-Muster-Regexes gescannt, die http://, https:// und www entsprechen. vorangestellte URLs. Wir extrahieren auch URLs aus href-Attributen in XML-Inhalten. Durch die Duplikaterkennung wird sichergestellt, dass jede eindeutige URL einmal analysiert wird, unabhängig davon, wie oft sie im Dokument vorkommt. Für den Kontext ist jede URL mit ihrem Quellort (Dokumenttext, Folie 3, Blatt 2, Kopf-/Fußzeile usw.) gekennzeichnet.
3. Phishing-Analyse und -Bewertung: Jede extrahierte URL wird in Komponenten analysiert (Protokoll, Hostname, TLD, Domäne, Subdomäne, Pfad, Abfrage). Die URL und der Hostname werden anhand von mehr als 40 Phishing-Regeln überprüft, die in Kategorien unterteilt sind: verdächtige TLDs, Domain-Täuschung, Homograph-Lookalikes, Schlüsselwörter für Anmeldeinformationen, verdächtige Pfadmuster, verkürzte URL-Dienste, Protokollanomalien, IP-Adress-URLs, verdächtige Ports und Erkennung langer/komplexer Domains. Jede übereinstimmende Regel erhöht die Verdachtsbewertung basierend auf ihrem Schweregrad (1–10). URLs mit einem Wert von 15+ werden als verdächtig gekennzeichnet. Darüber hinaus prüfen wir die Erwähnung von Markennamen in der Domain und zählen die Subdomain-Ebenen zur strukturellen Bewertung.

Unterstützte Dateitypen: DOCX (Word-Dokumente), XLSX (Excel-Tabellen), PPTX (PowerPoint-Präsentationen) und PDF-Dateien. Ältere Binärformate (DOC, XLS, PPT) werden nicht unterstützt, da sie eine andere interne Struktur (OLE2/CFB) verwenden, die im Browser nicht einfach analysiert werden kann. Dateigrößenbeschränkung: Dokumente bis zu 100 MB werden unterstützt. Größere Dateien können zu Problemen mit dem Browserspeicher führen. Erkennungsbereich: Das Tool prüft URLs anhand einer lokalen Regeldatenbank mit gängigen Phishing-Indikatoren. Es werden keine Live-Reputationsprüfungen anhand externer Threat-Intelligence-Feeds oder DNS-Suchen durchgeführt. Obwohl die Erkennung umfassend ist, kann kein Tool jeden Phishing-Versuch erkennen. 100 % privat: Die gesamte Verarbeitung erfolgt vollständig in Ihrem Browser mithilfe der FileReader- und JSZip-APIs. Dateien verlassen niemals Ihr Gerät – keine Uploads, keine Anmeldung, keine Datenerfassung, keine Nutzungsverfolgung.