Detector de enlaces de phishing

• Detección integral de phishing: verifica las URL con más de 40 reglas de phishing que abarcan TLD sospechosos (.tk, .ml, .ga, .cf, .gq, .click, .download), patrones de engaño de dominio (dominios similares, subdominios excesivos, suplantación de marca), palabras clave de recolección de credenciales (contraseña, inicio de sesión, verificación, cuenta), intentos de ofuscación de URL (caracteres codificados, contrabando de signos @, URL de direcciones IP), servicios de URL acortados (bit.ly, tinyurl, ow.ly, is.gd) y anomalías de protocolo (file://, data://, ftp://). Cada regla tiene una puntuación de gravedad para una evaluación de riesgos precisa.
• Escaneo profundo de documentos: escanea la estructura interna de los documentos de Office (DOCX, XLSX, PPTX) analizando su formato Open XML: examinando el cuerpo del documento, encabezados/pies de página, hojas de trabajo, diapositivas, cadenas compartidas, relaciones de hipervínculos y notas al pie/notas al final. Para archivos PDF, extrae patrones de URL del contenido del texto sin formato. También detecta macros VBA de ejecución automática (Auto_Open, Document_Open, Workbook_Open) que se utilizan con frecuencia en cargas útiles de phishing.
• Análisis y análisis detallados de URL: cada URL extraída se analiza completamente en componentes: protocolo, nombre de host, dominio, TLD, subdominio, ruta, parámetros de consulta y fragmento. Los componentes analizados se utilizan para detectar dominios similares (g00gle → google, paypa1 → paypal, rnicrosoft → microsoft), TLD sospechosos y estructuras de dominio complejas. Cada URL recibe una puntuación de sospecha de 0 a 100 con un etiquetado claro (segura, baja, sospechosa, alta, crítica).
• Extracción de metadatos de documentos: extrae metadatos de documentos incrustados junto con el análisis de URL: autor, creador, fecha de creación, fecha de modificación y título del documento. Estos metadatos ayudan a los analistas de seguridad a comprender la procedencia del documento y pueden revelar inconsistencias (por ejemplo, un documento que dice ser de una organización pero se creó con información de autor diferente). Todos los metadatos se muestran junto con los resultados del análisis de URL.

• Detección de seguridad de archivos adjuntos de correo electrónico: los profesionales de la seguridad pueden escanear los archivos adjuntos de correo electrónico antes de abrirlos para detectar enlaces de phishing incrustados. Los documentos de Office y los archivos PDF son vehículos comunes de entrega de phishing: los atacantes insertan URL maliciosas en documentos aparentemente legítimos. Esta herramienta revela todos los enlaces incrustados y señala patrones sospechosos, lo que ayuda a los equipos de seguridad a identificar archivos adjuntos maliciosos sin abrirlos en un entorno real.
• Capacitación sobre concientización sobre phishing: las organizaciones que ejecutan programas de concientización sobre phishing pueden usar el detector para analizar correos electrónicos y documentos de phishing simulados. Muestre a los alumnos cómo se ven los patrones sospechosos, demuestre cómo las URL aparentemente legítimas pueden ser engañosas y explique los indicadores técnicos que revelan intentos de phishing. El sistema de puntuación de gravedad proporciona comentarios educativos claros.
• Revisión de documentos y diligencia debida: antes de compartir documentos externamente o publicarlos en sitios web, los equipos legales y de cumplimiento pueden buscar enlaces de seguimiento integrados, URL de análisis o recursos de terceros sospechosos. La herramienta ayuda a garantizar que los documentos compartidos no contengan enlaces externos inesperados que puedan comprometer la privacidad o revelar información confidencial.
• Respuesta a incidentes y análisis forense: durante las investigaciones de incidentes de seguridad, los analistas pueden escanear documentos sospechosos encontrados en sistemas comprometidos. La herramienta extrae todas las URL, marca indicadores de phishing conocidos y proporciona un informe detallado que puede incluirse en la documentación del incidente. El análisis completo de URL ayuda a los analistas a comprender la infraestructura detrás de las campañas de phishing.
• Investigación de seguridad y análisis de amenazas: los investigadores de seguridad pueden analizar kits de phishing y documentos maliciosos para catalogar patrones de URL, identificar la infraestructura utilizada por los actores de amenazas y crear firmas de detección. El completo sistema de señalización proporciona resultados detallados que se pueden utilizar para crear reglas YARA, alertas SIEM o filtros de seguridad de correo electrónico.
• Educación en ciberseguridad: los estudiantes que aprenden sobre ingeniería social y ataques de phishing pueden utilizar la herramienta para comprender cómo funcionan los documentos de phishing. Cargue documentos de phishing reales o simulados para ver los indicadores técnicos, aprender sobre técnicas de ofuscación de URL y comprender por qué ciertos patrones se consideran sospechosos. Una excelente herramienta práctica para cursos de ciberseguridad.

La detección de enlaces de phishing en documentos es el proceso de escanear documentos de Office y archivos PDF en busca de URL incrustadas y analizarlos con respecto a indicadores de phishing conocidos. Los atacantes suelen incorporar URL maliciosas en documentos aparentemente legítimos: una factura en PDF con un vínculo a una página de inicio de sesión falsa, un documento de Word con URL de seguimiento incrustadas o una hoja de cálculo de Excel con vínculos a sitios de recolección de credenciales. Nuestra herramienta examina la estructura interna de estos documentos (Open XML para formatos Office, texto sin formato para PDF) para extraer cada URL externa, luego compara cada URL con una base de datos de más de 40 reglas de phishing que cubren engaño de dominio, TLD sospechosos, palabras clave de credenciales, anomalías de protocolo, ofuscación de URL, URL acortadas y patrones de phishing conocidos. Cada URL recibe una puntuación de sospecha de 0 (segura) a 100 (crítica). La herramienta también detecta macros VBA de ejecución automática (Auto_Open, Document_Open, Workbook_Open), que son un vector de phishing común para entregar cargas útiles de malware.

• TLD sospechosos: dominios de nivel superior gratuitos y no confiables que se usan comúnmente en campañas de phishing: .tk (Tokelau), .ml (Malí), .ga (Gabón), .cf (República Centroafricana), .gq (Guinea Ecuatorial), .click y.download. Estos TLD son populares porque su registro es gratuito o muy económico y, a menudo, tienen mecanismos débiles para denunciar abusos.
• Engaño de dominios y similares: los atacantes crean dominios que visualmente se parecen a marcas confiables: usan ceros en lugar de letras (g00gle, micr0s0ft), I mayúscula en lugar de L minúscula (paypaI, appIe), letras transpuestas (rnicrosoft) o agregan prefijos engañosos (secure-google, login-paypal, verificar-amazon). Nuestra herramienta busca más de 15 patrones similares comunes y señala estructuras de subdominios sospechosas.
• Palabras clave de credenciales y seguridad: URL que contienen palabras clave asociadas con la recolección de credenciales: inicio de sesión, inicio de sesión, verificación, confirmación, cuenta, contraseña, autenticación y seguridad. Las URL de phishing suelen utilizar estas palabras en la ruta o el subdominio para engañar a los usuarios haciéndoles creer que se encuentran en una página de autenticación legítima.
• Ofuscación de URL: técnicas utilizadas para ocultar el verdadero destino de una URL, incluido el contrabando de credenciales @-sign (http://[email protected]), engaños de redireccionamiento de doble barra (http://example.com//evil.com), URL fuertemente codificadas con múltiples caracteres codificados por porcentaje, URL de direcciones IP que eluden los sistemas de reputación de dominio y servicios de URL acortados (bit.ly, tinyurl, ow.ly) que enmascaran el destino final.
• Anomalías de protocolo: protocolos URL inusuales en documentos como file:// (acceso a archivos locales), data:// (ejecución de datos en línea) y ftp:// (exfiltración de datos). Estos son raros en documentos legítimos, pero comunes en ataques de phishing y malware.

1. Análisis de documentos: la herramienta primero detecta el tipo de documento leyendo el encabezado del archivo (bytes mágicos): encabezado ZIP para formatos de Office (DOCX, XLSX, PPTX) y encabezado %PDF para archivos PDF. Para los documentos de Office, JSZip descomprime la estructura ZIP y analizamos el contenido XML de cada componente interno: cuerpo del documento (word/document.xml), encabezados/pies de página, hojas de trabajo (xl/worksheets/sheetN.xml), diapositivas (ppt/slides/slideN.xml), tablas de cadenas compartidas y relaciones de hipervínculos (archivos .rels). Para archivos PDF, extraemos contenido de texto utilizando la coincidencia de patrones de expresiones regulares en el binario sin formato.
2. Extracción de URL: todo el texto extraído se escanea con expresiones regulares de patrones de URL que coinciden con http://, https:// y www. URL con prefijo. También extraemos URL de atributos href en contenido XML. La detección de duplicados garantiza que cada URL única se analice una vez, independientemente de cuántas veces aparezca en el documento. Cada URL está etiquetada con su ubicación de origen (cuerpo del documento, diapositiva 3, hoja 2, encabezado/pie de página, etc.) para contexto.
3. Análisis y puntuación de phishing: cada URL extraída se analiza en componentes (protocolo, nombre de host, TLD, dominio, subdominio, ruta, consulta). La URL y el nombre de host se comparan con más de 40 reglas de phishing organizadas en categorías: TLD sospechosos, engaño de dominio, imitaciones de homógrafos, palabras clave de credenciales, patrones de rutas sospechosas, servicios de URL acortados, anomalías de protocolo, URL de direcciones IP, puertos sospechosos y detección de dominios largos/complejos. Cada regla coincidente se suma a la puntuación de sospecha según su gravedad (1-10). Las URL con puntuaciones superiores a 15 se marcan como sospechosas. Además, verificamos las menciones de marcas en el dominio y contamos los niveles de subdominio para una evaluación estructural.

Tipos de archivos admitidos: DOCX (documentos de Word), XLSX (hojas de cálculo de Excel), PPTX (presentaciones de PowerPoint) y archivos PDF. Los formatos binarios más antiguos (DOC, XLS, PPT) no son compatibles porque utilizan una estructura interna diferente (OLE2/CFB) que no se puede analizar fácilmente en el navegador. Límite de tamaño de archivo: se admiten documentos de hasta 100 MB. Los archivos más grandes pueden causar problemas de memoria en el navegador. Alcance de la detección: la herramienta compara las URL con una base de datos de reglas local de indicadores de phishing comunes. No realiza comprobaciones de reputación en vivo frente a fuentes de inteligencia de amenazas externas ni búsquedas de DNS. Si bien la detección es exhaustiva, ninguna herramienta puede detectar todos los intentos de phishing. 100% privado: todo el procesamiento se realiza íntegramente en su navegador utilizando las API FileReader y JSZip. Los archivos nunca salen de su dispositivo: sin cargas, sin registro, sin recopilación de datos, sin seguimiento de uso.