Was macht Analyse bösartiger URLs mit URLScan?
Übersicht
URLScan.io ist ein kostenloser Dienst zum Scannen und Analysieren verdächtiger URLs. Er erfasst Screenshots, DOM-Inhalte, HTTP-Transaktionen, JavaScript-Verhalten und Netzwerkverbindungen von Webseiten in einer isolierten Umgebung. Diese Fertigkeit beschreibt die Nutzung der Weboberfläche und der API von URLScan zur Untersuchung von Phishing-URLs, Anmeldeinformations-Sammelseiten und bösartigen Weiterleitungen, ohne das System des Analysten zu gefährden.
Wann verwenden
- Bei der Untersuchung von Sicherheitsvorfällen, die die Analyse bösartiger URLs mit URLScan erfordern
- Bei der Erstellung von Erkennungsregeln oder Bedrohungsjagd-Abfragen für diese Domäne
- Wenn SOC-Analysten strukturierte Verfahren für diesen Analysetyp benötigen
- Bei der Validierung der Sicherheitsüberwachung für damit verbundene Angriffstechniken
Voraussetzungen
- URLScan.io-Konto (kostenlose Stufe verfügbar, API-Schlüssel für Automatisierung)
- Python 3.8+ mit der requests-Bibliothek
- Verständnis von HTTP-Protokollen und Webtechnologien
- Vertrautheit mit Phishing-URL-Mustern
Schlüsselkonzepte
URLScan-Funktionen
- Sicheres Browsen: Rendert URLs in einer isolierten Chromium-Instanz
- Screenshot-Erfassung: Visuelles Abbild der gerenderten Seite
- DOM-Analyse: Vollständiger HTML-Inhalt nach JavaScript-Ausführung
- Netzwerkprotokoll: Alle von der Seite durchgeführten HTTP-Anfragen (HAR-Format)
- Zertifikatsanalyse: SSL/TLS-Zertifikatsdetails
- Technologieerkennung: Identifiziert Web-Frameworks und Bibliotheken
- IP/ASN-Zuordnung: Infrastruktur-Informationen
- Bewertung: Community- und automatisierte Klassifizierung
Phishing-URL-Warnsignale
- Neu registrierte Domains (< 30 Tage)
- Kostenlose Hosting-Dienste (Wix, GitHub Pages, Firebase)
- URL-Verkürzer, die das endgültige Ziel verbergen
- Übermäßige Subdomain-Tiefe (login.microsoft.com.evil.com)
- Markenname in Subdomain oder Pfad, nicht in der Domain
- Nicht standardgemäße Ports
- Data-URIs oder base64-kodierte Inhalte
- JavaScript-lastige Seiten mit minimalem HTML
Arbeitsablauf
Schritt 1: URL bei URLScan einreichen
Web: Navigieren Sie zu https://urlscan.io und reichen Sie die verdächtige URL ein
API: POST https://urlscan.io/api/v1/scan/
Header: API-Key: your-api-key
Body: {"url": "https://suspicious-url.com", "visibility": "private"}
Schritt 2: Ergebnisse analysieren
- Screenshot auf Markenimitation überprüfen
- Weiterleitungen und finale Ziel-URL prüfen
- DOM auf Anmeldeformulare für Zugangsdaten untersuchen
- Netzwerkanfragen auf Datenexfiltrations-Endpunkte prüfen
- SSL-Zertifikatsgültigkeit und Aussteller prüfen
Schritt 3: IOCs extrahieren
- Kontaktierte Domains und IPs
- URLs in der Weiterleitungskette
- SHA-256-Hashes der Seitenressourcen
- JavaScript-Datei-Hashes
Schritt 4: Mit Bedrohungsdaten abgleichen
Verwenden Sie scripts/process.py, um das URL-Scannen zu automatisieren, IOCs zu extrahieren und mit VirusTotal, PhishTank und Google Safe Browsing abzugleichen.
Werkzeuge & Ressourcen
- URLScan.io: https://urlscan.io/
- URLScan API: https://urlscan.io/docs/api/
- VirusTotal URL Scanner: https://www.virustotal.com/
- PhishTank: https://phishtank.org/
- Google Safe Browsing: https://transparencyreport.google.com/safe-browsing/search
- Any.Run: https://any.run/ (interaktive Sandbox)
- Hybrid Analysis: https://www.hybrid-analysis.com/
Validierung
- Erfolgreich eine verdächtige URL über die API scannen
- Screenshot extrahieren und Markenimitation identifizieren
- Vollständige Weiterleitungskette dokumentieren
- IOC-Liste aus Scan-Ergebnissen generieren
- Ergebnisse mit mindestens 2 Bedrohungsdatenquellen abgleichen