Detector de links de phishing

• Detecção abrangente de phishing: verifica URLs em mais de 40 regras de phishing abrangendo TLDs suspeitos (.tk,.ml,.ga,.cf,.gq,.click,.download), padrões de fraude de domínio (domínios semelhantes, subdomínios excessivos, personificação de marca), palavras-chave de coleta de credenciais (senha, login, verificação, conta), tentativas de ofuscação de URL (caracteres codificados, contrabando de sinal @, URLs de endereço IP), encurtados Serviços de URL (bit.ly, tinyurl, ow.ly, is.gd) e anomalias de protocolo (file://, data://, ftp://). Cada regra tem uma pontuação de gravidade para uma avaliação de risco precisa.
• Digitalização profunda de documentos: verifica a estrutura interna de documentos do Office (DOCX, XLSX, PPTX) analisando seu formato Open XML - examinando o corpo do documento, cabeçalhos/rodapés, planilhas, slides, strings compartilhadas, relacionamentos de hiperlinks e notas de rodapé/notas finais. Para PDFs, extrai padrões de URL do conteúdo de texto bruto. Também detecta macros VBA de execução automática (Auto_Open, Document_Open, Workbook_Open) que são frequentemente usadas em cargas de phishing.
• Análise e análise detalhada de URL: cada URL extraído é totalmente analisado em componentes: protocolo, nome de host, domínio, TLD, subdomínio, caminho, parâmetros de consulta e fragmento. Os componentes analisados ​​são usados ​​para detectar domínios semelhantes (g00gle → google, paypa1 → paypal, rnicrosoft → microsoft), TLDs suspeitos e estruturas de domínio complexas. Cada URL recebe uma pontuação de suspeita de 0 a 100 com rotulagem clara (Seguro, Baixo, Suspeito, Alto, Crítico).
• Extração de metadados de documentos: Extrai metadados de documentos incorporados juntamente com análise de URL - autor, criador, data de criação, data de modificação e título do documento. Esses metadados ajudam os analistas de segurança a compreender a origem do documento e podem revelar inconsistências (por exemplo, um documento que afirma ser de uma organização, mas criado com informações de autores diferentes). Todos os metadados são exibidos junto com os resultados da verificação de URL.

• Triagem de segurança de anexos de e-mail: os profissionais de segurança podem verificar anexos de e-mail antes de abri-los para detectar links de phishing incorporados. Documentos do Office e PDFs são veículos comuns de entrega de phishing - os invasores incorporam URLs maliciosos em documentos aparentemente legítimos. Essa ferramenta revela todos os links incorporados e sinaliza padrões suspeitos, ajudando as equipes de segurança a identificar anexos maliciosos sem abri-los em um ambiente ativo.
• Treinamento de conscientização sobre phishing: as organizações que executam programas de conscientização sobre phishing podem usar o detector para analisar e-mails e documentos de phishing simulados. Mostre aos formandos como são os padrões suspeitos, demonstre como URLs aparentemente legítimos podem ser enganosos e explique os indicadores técnicos que revelam tentativas de phishing. O sistema de pontuação de gravidade fornece feedback educacional claro.
• Revisão de documentos e due diligence: antes de compartilhar documentos externamente ou publicá-los em sites, as equipes jurídicas e de conformidade podem procurar links de rastreamento incorporados, URLs de análise ou recursos suspeitos de terceiros. A ferramenta ajuda a garantir que os documentos compartilhados não contenham links externos inesperados que possam comprometer a privacidade ou revelar informações confidenciais.
• Resposta a Incidentes e Análise Forense: Durante as investigações de incidentes de segurança, os analistas podem verificar documentos suspeitos encontrados em sistemas comprometidos. A ferramenta extrai todos os URLs, sinaliza indicadores de phishing conhecidos e fornece um relatório detalhado que pode ser incluído na documentação do incidente. A análise completa de URL ajuda os analistas a compreender a infraestrutura por trás das campanhas de phishing.
• Pesquisa de segurança e análise de ameaças: Os pesquisadores de segurança podem analisar kits de phishing e documentos maliciosos para catalogar padrões de URL, identificar a infraestrutura usada pelos agentes de ameaças e criar assinaturas de detecção. O sistema de sinalização abrangente fornece resultados detalhados que podem ser usados ​​para criar regras YARA, alertas SIEM ou filtros de segurança de e-mail.
• Educação em segurança cibernética: os alunos que aprendem sobre engenharia social e ataques de phishing podem usar a ferramenta para entender como funcionam os documentos de phishing. Faça upload de documentos de phishing reais ou simulados para ver os indicadores técnicos, aprender sobre técnicas de ofuscação de URL e entender por que determinados padrões são considerados suspeitos. Uma excelente ferramenta prática para cursos de segurança cibernética.

A detecção de links de phishing em documentos é o processo de digitalização de documentos do Office e PDFs em busca de URLs incorporados e análise deles em relação a indicadores de phishing conhecidos. Os invasores geralmente incorporam URLs maliciosos em documentos aparentemente legítimos – um PDF de fatura com um link para uma página de login falsa, um documento do Word com URLs de rastreamento incorporados ou uma planilha do Excel com links para sites de coleta de credenciais. Nossa ferramenta examina a estrutura interna desses documentos (Open XML para formatos Office, texto bruto para PDFs) para extrair cada URL externo e, em seguida, verifica cada URL em um banco de dados de mais de 40 regras de phishing que cobrem fraude de domínio, TLDs suspeitos, palavras-chave de credenciais, anomalias de protocolo, ofuscação de URL, URLs encurtados e padrões de phishing conhecidos. Cada URL recebe uma pontuação de suspeita de 0 (seguro) a 100 (crítico). A ferramenta também detecta macros VBA de execução automática (Auto_Open, Document_Open, Workbook_Open), que são um vetor de phishing comum para entrega de cargas de malware.

• TLDs suspeitos: domínios de nível superior gratuitos e não confiáveis ​​comumente usados ​​em campanhas de phishing -.tk (Tokelau),.ml (Mali),.ga (Gabão),.cf (República Centro-Africana),.gq (Guiné Equatorial),.click e.download. Esses TLDs são populares porque são gratuitos ou muito baratos para registrar e geralmente têm mecanismos fracos de denúncia de abusos.
• Decepção e semelhanças de domínio: os invasores criam domínios que se assemelham visualmente a marcas confiáveis ​​- usando zeros em vez de letras (g00gle, micr0s0ft), I maiúsculo em vez de l minúsculo (paypaI, appIe), letras transpostas (rnicrosoft) ou adicionando prefixos enganosos (secure-google, login-paypal, verify-amazon). Nossa ferramenta verifica mais de 15 padrões semelhantes comuns e sinaliza estruturas de subdomínios suspeitas.
• Palavras-chave de credenciais e segurança: URLs contendo palavras-chave associadas à coleta de credenciais - login, login, verificação, confirmação, conta, senha, autenticação e segurança. URLs de phishing geralmente usam essas palavras no caminho ou subdomínio para induzir os usuários a pensarem que estão em uma página de autenticação legítima.
• Ofuscação de URL: técnicas usadas para ocultar o verdadeiro destino de uma URL, incluindo contrabando de credenciais @-sign (http://[email protected]), enganos de redirecionamento de barra dupla (http://example.com//evil.com), URLs fortemente codificados com vários caracteres codificados por porcentagem, URLs de endereços IP que ignoram sistemas de reputação de domínio e serviços de URL encurtados (bit.ly, tinyurl, ow.ly) que mascaram o destino final.
• Anomalias de protocolo: Protocolos de URL incomuns em documentos como file:// (acesso a arquivos locais), data:// (execução de dados inline) e ftp:// (exfiltração de dados). Eles são raros em documentos legítimos, mas comuns em ataques de phishing e malware.

1. Análise de documento: A ferramenta primeiro detecta o tipo de documento lendo o cabeçalho do arquivo (bytes mágicos) - cabeçalho ZIP para formatos Office (DOCX, XLSX, PPTX) e cabeçalho% PDF para arquivos PDF. Para documentos do Office, o JSZip descompacta a estrutura ZIP e analisamos o conteúdo XML de cada componente interno: corpo do documento (word/document.xml), cabeçalhos/rodapés, planilhas (xl/worksheets/sheetN.xml), slides (ppt/slides/slideN.xml), tabelas de strings compartilhadas e relacionamentos de hiperlinks (arquivos .rels). Para PDFs, extraímos conteúdo de texto usando correspondência de padrões regex no binário bruto.
2. Extração de URL: todo o texto extraído é verificado com expressões regulares de padrão de URL correspondentes a http://, https:// e www. URLs prefixados. Também extraímos URLs de atributos href em conteúdo XML. A detecção de duplicatas garante que cada URL exclusivo seja analisado uma vez, independentemente de quantas vezes ele apareça no documento. Cada URL é marcado com seu local de origem (corpo do documento, slide 3, planilha 2, cabeçalho/rodapé, etc.) para fins de contexto.
3. Análise e pontuação de phishing: cada URL extraído é analisado em componentes (protocolo, nome do host, TLD, domínio, subdomínio, caminho, consulta). O URL e o nome do host são verificados em relação a mais de 40 regras de phishing organizadas em categorias: TLDs suspeitos, fraude de domínio, homógrafos semelhantes, palavras-chave de credenciais, padrões de caminho suspeitos, serviços de URL encurtados, anomalias de protocolo, URLs de endereços IP, portas suspeitas e detecção de domínio longo/complexo. Cada regra correspondida é adicionada à pontuação de suspeita com base na sua gravidade (1-10). URLs com pontuações acima de 15 são sinalizados como suspeitos. Além disso, verificamos menções ao nome da marca no domínio e contamos os níveis de subdomínio para avaliação estrutural.

Tipos de arquivos suportados: DOCX (documentos do Word), XLSX (planilhas do Excel), PPTX (apresentações do PowerPoint) e arquivos PDF. Formatos binários mais antigos (DOC, XLS, PPT) não são suportados porque usam uma estrutura interna diferente (OLE2/CFB) que não pode ser facilmente analisada no navegador. Limite de tamanho de arquivo: São suportados documentos de até 100 MB. Arquivos maiores podem causar problemas de memória do navegador. Escopo de detecção: a ferramenta verifica URLs em um banco de dados de regras locais de indicadores comuns de phishing. Ele não realiza verificações de reputação em tempo real contra feeds de inteligência de ameaças externas ou pesquisas de DNS. Embora a detecção seja abrangente, nenhuma ferramenta pode detectar todas as tentativas de phishing. 100% privado: todo o processamento é feito inteiramente no seu navegador usando as APIs FileReader e JSZip. Os arquivos nunca saem do seu dispositivo - sem uploads, sem inscrição, sem coleta de dados, sem rastreamento de uso.