¿Qué hace Análisis de URL maliciosa con URLScan?
Resumen
URLScan.io es un servicio gratuito para escanear y analizar URL sospechosas. Captura capturas de pantalla, contenido DOM, transacciones HTTP, comportamiento de JavaScript y conexiones de red de páginas web en un entorno aislado. Esta habilidad cubre el uso de la interfaz web y la API de URLScan para investigar URL de phishing, sitios de robo de credenciales y redirecciones maliciosas sin exponer el sistema del analista a riesgos.
Cuándo usarlo
- Al investigar incidentes de seguridad que requieren analizar URL maliciosas con urlscan
- Al construir reglas de detección o consultas de caza de amenazas para este dominio
- Cuando los analistas de SOC necesitan procedimientos estructurados para este tipo de análisis
- Al validar la cobertura de monitoreo de seguridad para técnicas de ataque relacionadas
Prerrequisitos
- Cuenta de URLScan.io (nivel gratuito disponible, clave API para automatización)
- Python 3.8+ con la librería requests
- Comprensión de protocolos HTTP y tecnologías web
- Familiaridad con patrones de URL de phishing
Conceptos clave
Capacidades de URLScan
- Navegación segura: Renderiza URL en una instancia aislada de Chromium
- Captura de pantalla: Instantánea visual de la página renderizada
- Análisis DOM: Contenido HTML completo después de la ejecución de JavaScript
- Registro de red: Todas las solicitudes HTTP realizadas por la página (formato HAR)
- Análisis de certificados: Detalles del certificado SSL/TLS
- Detección de tecnologías: Identifica frameworks y librerías web
- Mapa IP/ASN: Inteligencia de infraestructura
- Veredicto: Clasificación comunitaria y automatizada
Señales de alerta en URL de phishing
- Dominios registrados recientemente (< 30 días)
- Servicios de hosting gratuitos (Wix, GitHub Pages, Firebase)
- Acortadores de URL que ocultan el destino final
- Excesiva profundidad de subdominios (login.microsoft.com.evil.com)
- Nombre de marca en subdominio o ruta, no en el dominio
- Puertos no estándar
- Data URIs o contenido codificado en base64
- Páginas con mucho JavaScript y poco HTML
Flujo de trabajo
Paso 1: Enviar URL a URLScan
Web: Navega a https://urlscan.io y envía la URL sospechosa
API: POST https://urlscan.io/api/v1/scan/
Cabecera: API-Key: tu-clave-api
Cuerpo: {"url": "https://suspicious-url.com", "visibility": "private"}
Paso 2: Analizar resultados
- Revisa la captura de pantalla en busca de suplantación de marca
- Verifica las redirecciones y la URL de destino final
- Examina el DOM en busca de formularios de ingreso de credenciales
- Revisa las solicitudes de red para identificar puntos de exfiltración de datos
- Verifica la validez y el emisor del certificado SSL
Paso 3: Extraer IOCs
- Dominios y direcciones IP contactadas
- URLs en la cadena de redirección
- Hashes SHA-256 de los recursos de la página
- Hashes de archivos JavaScript
Paso 4: Cruzar con inteligencia de amenazas
Usa el scripts/process.py para automatizar el escaneo de URL, extraer IOCs y cruzarlos con VirusTotal, PhishTank y Google Safe Browsing.
Herramientas y recursos
- URLScan.io: https://urlscan.io/
- API de URLScan: https://urlscan.io/docs/api/
- Escáner de URL de VirusTotal: https://www.virustotal.com/
- PhishTank: https://phishtank.org/
- Google Safe Browsing: https://transparencyreport.google.com/safe-browsing/search
- Any.Run: https://any.run/ (sandbox interactivo)
- Hybrid Analysis: https://www.hybrid-analysis.com/
Validación
- Escanea exitosamente una URL sospechosa mediante API
- Extrae la captura de pantalla e identifica suplantación de marca
- Documenta la cadena completa de redirecciones
- Genera una lista de IOCs a partir de los resultados del escaneo
- Cruza los hallazgos con al menos 2 fuentes de inteligencia de amenazas