Детектор фишинговых ссылок

• Комплексное обнаружение фишинга: проверяет URL-адреса на соответствие более чем 40 правилам фишинга, охватывающим подозрительные домены верхнего уровня (.tk,.ml,.ga,.cf,.gq,.click,.download), шаблоны обмана доменов (похожие домены, чрезмерное количество поддоменов, выдача себя за бренд), ключевые слова для сбора учетных данных (пароль, логин, проверка, учетная запись), попытки обфускации URL-адресов (закодированные символы, контрабанда знака @, URL-адреса IP-адресов), службы сокращенных URL-адресов (bit.ly, tinyurl, ow.ly, is.gd) и аномалии протокола (file://, data://, ftp://). Каждое правило имеет степень серьезности для точной оценки риска.
• Глубокое сканирование документов: сканирует внутреннюю структуру документов Office (DOCX, XLSX, PPTX) путем анализа их формата Open XML — проверки тела документа, верхних и нижних колонтитулов, рабочих листов, слайдов, общих строк, связей гиперссылок и сносок/концевых сносок. Для PDF-файлов извлекает шаблоны URL-адресов из необработанного текстового содержимого. Также обнаруживает автоматически выполняемые макросы VBA (Auto_Open, Document_Open, Workbook_Open), которые часто используются в фишинговых файлах.
• Детальный анализ и анализ URL-адресов. Каждый извлеченный URL-адрес полностью разбирается на компоненты: протокол, имя хоста, домен, TLD, субдомен, путь, параметры запроса и фрагмент. Анализируемые компоненты используются для обнаружения похожих доменов (g00gle → google, paypa1 → paypal, rnicrosoft → microsoft), подозрительных TLD и сложных структур доменов. Каждому URL-адресу присваивается оценка подозрительности от 0 до 100 с четкой маркировкой (Безопасный, Низкий, Подозрительный, Высокий, Критический).
• Извлечение метаданных документа: извлекает метаданные встроенного документа вместе с анализом URL-адресов — автора, создателя, даты создания, даты изменения и названия документа. Эти метаданные помогают аналитикам безопасности понять происхождение документа и выявить несоответствия (например, документ, утверждающий, что он принадлежит одной организации, но созданный с использованием другой информации об авторе). Все метаданные отображаются рядом с результатами сканирования URL-адресов.

• Проверка безопасности вложений электронной почты. Специалисты по безопасности могут сканировать вложения электронной почты перед их открытием, чтобы обнаружить встроенные фишинговые ссылки. Документы Office и PDF-файлы являются распространенными средствами доставки фишинга: злоумышленники встраивают вредоносные URL-адреса в, казалось бы, законные документы. Этот инструмент выявляет все встроенные ссылки и помечает подозрительные шаблоны, помогая специалистам по безопасности выявлять вредоносные вложения, не открывая их в реальной среде.
• Обучение по предотвращению фишинга. Организации, реализующие программы по предотвращению фишинга, могут использовать детектор для анализа смоделированных фишинговых писем и документов. Покажите слушателям, как выглядят подозрительные шаблоны, продемонстрируйте, как, казалось бы, законные URL-адреса могут быть обманчивыми, и объясните технические индикаторы, которые выявляют попытки фишинга. Система оценки серьезности обеспечивает четкую образовательную обратную связь.
• Проверка документов и комплексная проверка: прежде чем предоставлять доступ к документам внешним пользователям или публиковать их на веб-сайтах, юридические группы и специалисты по соблюдению нормативных требований могут проверить их на наличие встроенных ссылок отслеживания, URL-адресов аналитики или подозрительных сторонних ресурсов. Этот инструмент помогает гарантировать, что общие документы не содержат неожиданных внешних ссылок, которые могут поставить под угрозу конфиденциальность или раскрыть конфиденциальную информацию.
• Реагирование на инциденты и судебная экспертиза. Во время расследования инцидентов безопасности аналитики могут сканировать подозрительные документы, обнаруженные в скомпрометированных системах. Инструмент извлекает все URL-адреса, помечает известные индикаторы фишинга и предоставляет подробный отчет, который можно включить в документацию по инциденту. Полный анализ URL-адресов помогает аналитикам понять инфраструктуру фишинговых кампаний.
• Исследование безопасности и анализ угроз. Исследователи безопасности могут анализировать наборы фишинга и вредоносные документы, чтобы каталогизировать шаблоны URL-адресов, идентифицировать инфраструктуру, используемую злоумышленниками, и создавать сигнатуры обнаружения. Комплексная система пометки предоставляет подробные выходные данные, которые можно использовать для создания правил YARA, оповещений SIEM или фильтров безопасности электронной почты.
• Образование в области кибербезопасности. Студенты, изучающие социальную инженерию и фишинговые атаки, могут использовать этот инструмент, чтобы понять, как работают фишинговые документы. Загрузите реальные или смоделированные фишинговые документы, чтобы увидеть технические индикаторы, узнать о методах обфускации URL-адресов и понять, почему определенные шаблоны считаются подозрительными. Отличный практический инструмент для курсов по кибербезопасности.

Обнаружение фишинговых ссылок в документах — это процесс сканирования документов Office и PDF-файлов на наличие встроенных URL-адресов и их анализа на предмет известных индикаторов фишинга. Злоумышленники обычно встраивают вредоносные URL-адреса в, казалось бы, законные документы — PDF-счет со ссылкой на поддельную страницу входа, документ Word со встроенными URL-адресами отслеживания или электронную таблицу Excel со ссылками на сайты сбора учетных данных. Наш инструмент проверяет внутреннюю структуру этих документов (форматы Open XML для Office, необработанный текст для PDF-файлов) для извлечения каждого внешнего URL-адреса, а затем сверяет каждый URL-адрес с базой данных, содержащей более 40 правил фишинга, охватывающих обман домена, подозрительные TLD, ключевые слова учетных данных, аномалии протокола, обфускацию URL-адресов, сокращенные URL-адреса и известные шаблоны фишинга. Каждый URL-адрес получает оценку подозрительности от 0 (безопасно) до 100 (критично). Инструмент также обнаруживает автоматически выполняемые макросы VBA (Auto_Open, Document_Open, Workbook_Open), которые являются распространенным вектором фишинга для доставки вредоносных программ.

• Подозрительные TLD: бесплатные и ненадежные домены верхнего уровня, часто используемые в фишинговых кампаниях: .tk (Токелау), .ml (Мали), .ga (Габон), .cf (Центральноафриканская Республика), .gq (Экваториальная Гвинея), .click и .download. Эти TLD популярны, поскольку их регистрация бесплатна или очень дешева, а механизмы сообщения о злоупотреблениях зачастую слабы.
• Обман домена и двойники: злоумышленники создают домены, которые визуально напоминают доверенные бренды, используя нули вместо букв (g00gle, micr0s0ft), прописные I вместо строчных l (paypaI, appIe), транспонированные буквы (rnicrosoft) или добавляя вводящие в заблуждение префиксы (secure-google, login-paypal,verify-amazon). Наш инструмент проверяет более 15 распространенных шаблонов-двойников и отмечает подозрительные структуры субдоменов.
• Ключевые слова учетных данных и безопасности: URL-адреса, содержащие ключевые слова, связанные со сбором учетных данных — вход в систему, вход в систему, проверка, подтверждение, учетная запись, пароль, аутентификация и безопасность. Фишинговые URL-адреса часто используют эти слова в пути или поддомене, чтобы заставить пользователей думать, что они находятся на законной странице аутентификации.
• Обфускация URL-адресов: методы, используемые для сокрытия истинного пункта назначения URL-адреса, включая контрабанду учетных данных со знаком @ (http://[email protected]), обманное перенаправление с двойной косой чертой (http://example.com//evil.com), сильно закодированные URL-адреса с несколькими символами в процентном кодировании, URL-адреса IP-адресов, которые обходят системы репутации домена, и службы сокращенных URL-адресов (bit.ly, tinyurl, ow.ly), которые маскируют конечный пункт назначения.
• Аномалии протоколов: необычные протоколы URL-адресов в документах, такие как file:// (доступ к локальному файлу), data:// (встроенное выполнение данных) и ftp:// (эксфильтрация данных). Они редко встречаются в законных документах, но часто встречаются при фишинговых атаках и атаках вредоносных программ.

1. Анализ документа: инструмент сначала определяет тип документа, считывая заголовок файла (магические байты) — заголовок ZIP для форматов Office (DOCX, XLSX, PPTX) и заголовок %PDF для файлов PDF. Для документов Office JSZip распаковывает структуру ZIP, и мы анализируем XML-содержимое каждого внутреннего компонента: тела документа (word/document.xml), верхних и нижних колонтитулов, рабочих листов (xl/worksheets/sheetN.xml), слайдов (ppt/slides/slideN.xml), таблиц общих строк и связей гиперссылок (файлы .rels). Для PDF-файлов мы извлекаем текстовое содержимое, используя сопоставление шаблонов регулярных выражений с необработанным двоичным файлом.
2. Извлечение URL-адресов. Весь извлеченный текст сканируется с использованием регулярных выражений шаблона URL-адресов, соответствующих http://, https:// и www. URL-адреса с префиксами. Мы также извлекаем URL-адреса из атрибутов href в содержимом XML. Обнаружение дубликатов гарантирует, что каждый уникальный URL-адрес анализируется один раз, независимо от того, сколько раз он встречается в документе. Каждый URL-адрес помечен с указанием исходного местоположения (текст документа, слайд 3, лист 2, верхний или нижний колонтитул и т. д.) для контекста.
3. Анализ и оценка фишинга: каждый извлеченный URL-адрес анализируется на компоненты (протокол, имя хоста, TLD, домен, субдомен, путь, запрос). URL-адрес и имя хоста проверяются на соответствие более чем 40 правилам фишинга, организованным по категориям: подозрительные TLD, обман домена, двойники гомографов, ключевые слова учетных данных, шаблоны подозрительных путей, услуги сокращенных URL-адресов, аномалии протокола, URL-адреса IP-адресов, подозрительные порты и обнаружение длинных/сложных доменов. Каждое сопоставленное правило увеличивает оценку подозрительности в зависимости от его серьезности (1–10). URL-адреса с рейтингом 15+ помечаются как подозрительные. Кроме того, мы проверяем наличие упоминаний торговых марок в домене и подсчитываем уровни поддоменов для структурной оценки.

Поддерживаемые типы файлов: DOCX (документы Word), XLSX (таблицы Excel), PPTX (презентации PowerPoint) и файлы PDF. Старые двоичные форматы (DOC, XLS, PPT) не поддерживаются, поскольку они используют другую внутреннюю структуру (OLE2/CFB), которую нелегко проанализировать в браузере. Ограничение размера файла: поддерживаются документы размером до 100 МБ. Файлы большего размера могут вызвать проблемы с памятью браузера. Область обнаружения: инструмент проверяет URL-адреса на соответствие локальной базе данных правил, содержащей распространенные индикаторы фишинга. Он не выполняет проверку репутации в реальном времени на основе внешних источников информации об угрозах или поиска DNS. Несмотря на то, что обнаружение является комплексным, ни один инструмент не может отследить каждую попытку фишинга. 100% конфиденциальность: вся обработка выполняется полностью в вашем браузере с использованием API-интерфейсов FileReader и JSZip. Файлы никогда не покидают ваше устройство — ни загрузки, ни регистрации, ни сбора данных, ни отслеживания использования.