Analyse d'une URL malveillante avec URLScan
Vue d'ensemble
URLScan.io est un service gratuit pour analyser et inspecter des URLs suspectes. Il capture des captures d'écran, le contenu DOM, les transactions HTTP, le comportement JavaScript et les connexions réseau des pages web dans un environnement isolé. Cette compétence couvre l'utilisation de l'interface web et de l'API d'URLScan pour enquêter sur les URL de phishing, les pages de collecte d'identifiants et les redirections malveillantes, sans exposer le système de l'analyste aux risques.
Quand l'utiliser
- Lors de l'investigation d'incidents de sécurité nécessitant l'analyse d'une URL malveillante avec URLScan
- Lors de l'élaboration de règles de détection ou de requêtes de chasse aux menaces pour ce domaine
- Lorsque les analystes SOC ont besoin de procédures structurées pour ce type d'analyse
- Lors de la validation de la couverture de surveillance de sécurité pour les techniques d'attaque associées
Prérequis
- Compte URLScan.io (niveau gratuit disponible, clé API pour l'automatisation)
- Python 3.8+ avec la bibliothèque requests
- Compréhension des protocoles HTTP et des technologies web
- Familiarité avec les motifs d'URL de phishing
Concepts clés
Capacités d'URLScan
- Navigation sécurisée : Affiche les URL dans une instance Chromium isolée
- Capture d'écran : Aperçu visuel de la page rendue
- Analyse DOM : Contenu HTML complet après exécution JavaScript
- Journal réseau : Toutes les requêtes HTTP effectuées par la page (format HAR)
- Analyse des certificats : Détails des certificats SSL/TLS
- Détection de technologies : Identification des frameworks et bibliothèques web
- Cartographie IP/ASN : Renseignement sur l'infrastructure
- Verdict : Classification communautaire et automatisée
Signaux d'alerte des URL de phishing
- Domaines nouvellement enregistrés (< 30 jours)
- Services d'hébergement gratuits (Wix, GitHub Pages, Firebase)
- Raccourcisseurs d'URL masquant la destination finale
- Profondeur excessive de sous-domaines (login.microsoft.com.evil.com)
- Nom de marque dans le sous-domaine ou le chemin, pas dans le domaine
- Ports non standard
- URI de données ou contenu encodé en base64
- Pages avec beaucoup de JavaScript et peu de HTML
Workflow
Étape 1 : Soumettre l'URL à URLScan
Web : Naviguer vers https://urlscan.io et soumettre l'URL suspecte
API : POST https://urlscan.io/api/v1/scan/
En-tête : API-Key: votre-clé-api
Corps : {"url": "https://url-suspecte.com", "visibility": "private"}
Étape 2 : Analyser les résultats
- Examiner la capture d'écran pour détecter une usurpation de marque
- Vérifier les redirections et l'URL de destination finale
- Examiner le DOM pour les formulaires de saisie d'identifiants
- Consulter les requêtes réseau pour identifier les points de terminaison d'exfiltration de données
- Vérifier la validité du certificat SSL et son émetteur
Étape 3 : Extraire les IOCs
- Domaines et IP contactés
- URL dans la chaîne de redirection
- Hachages SHA-256 des ressources de la page
- Hachages des fichiers JavaScript
Étape 4 : Corréler avec les sources de threat intelligence
Utiliser le fichier scripts/process.py pour automatiser l'analyse d'URL, extraire les IOCs et les corréler avec VirusTotal, PhishTank et Google Safe Browsing.
Outils et ressources
- URLScan.io : https://urlscan.io/
- API URLScan : https://urlscan.io/docs/api/
- Analyseur d'URL VirusTotal : https://www.virustotal.com/
- PhishTank : https://phishtank.org/
- Google Safe Browsing : https://transparencyreport.google.com/safe-browsing/search
- Any.Run : https://any.run/ (bac à sable interactif)
- Hybrid Analysis : https://www.hybrid-analysis.com/
Validation
- Analyser avec succès une URL suspecte via l'API
- Extraire une capture d'écran et identifier une usurpation de marque
- Documenter la chaîne de redirection complète
- Générer une liste d'IOCs à partir des résultats d'analyse
- Corréler les résultats avec au moins 2 sources de threat intelligence