O que Análise de URL Maliciosa com URLScan faz?
Visão Geral
O URLScan.io é um serviço gratuito para escanear e analisar URLs suspeitas. Ele captura screenshots, conteúdo DOM, transações HTTP, comportamento JavaScript e conexões de rede de páginas web em um ambiente isolado. Esta habilidade cobre o uso da interface web e da API do URLScan para investigar URLs de phishing, páginas de roubo de credenciais e redirecionamentos maliciosos sem expor o sistema do analista ao risco.
Quando Usar
- Ao investigar incidentes de segurança que exigem análise de URLs maliciosas com URLScan
- Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
- Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
- Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas
Pré-requisitos
- Conta no URLScan.io (nível gratuito disponível, chave de API para automação)
- Python 3.8+ com a biblioteca requests
- Compreensão de protocolos HTTP e tecnologias web
- Familiaridade com padrões de URLs de phishing
Conceitos-chave
Capacidades do URLScan
- Navegação segura: Renderiza URLs em uma instância isolada do Chromium
- Captura de screenshot: Instantâneo visual da página renderizada
- Análise DOM: Conteúdo HTML completo após execução JavaScript
- Log de rede: Todas as requisições HTTP feitas pela página (formato HAR)
- Análise de certificado: Detalhes do certificado SSL/TLS
- Detecção de tecnologia: Identifica frameworks web e bibliotecas
- Mapeamento IP/ASN: Inteligência de infraestrutura
- Veredito: Classificação comunitária e automatizada
Sinais de Alerta em URLs de Phishing
- Domínios recém-registrados (< 30 dias)
- Serviços de hospedagem gratuita (Wix, GitHub Pages, Firebase)
- Encurtadores de URL ocultando o destino final
- Profundidade excessiva de subdomínios (login.microsoft.com.evil.com)
- Nome da marca no subdomínio ou caminho, não no domínio
- Portas não padrão
- Data URIs ou conteúdo codificado em base64
- Páginas pesadas em JavaScript com HTML mínimo
Fluxo de Trabalho
Passo 1: Enviar URL para URLScan
Web: Navegue até https://urlscan.io e envie a URL suspeita
API: POST https://urlscan.io/api/v1/scan/
Cabeçalho: API-Key: sua-chave-api
Corpo: {"url": "https://url-suspeita.com", "visibility": "private"}
Passo 2: Analisar Resultados
- Revise o screenshot em busca de falsificação de marca
- Verifique redirecionamentos e URL de destino final
- Examine o DOM em busca de formulários de entrada de credenciais
- Revise as requisições de rede para endpoints de exfiltração de dados
- Verifique a validade do certificado SSL e seu emissor
Passo 3: Extrair IOCs
- Domínios e IPs contatados
- URLs na cadeia de redirecionamento
- Hashes SHA-256 dos recursos da página
- Hashes de arquivos JavaScript
Passo 4: Correlacionar com Inteligência de Ameaças
Use o scripts/process.py para automatizar a varredura de URLs, extrair IOCs e correlacionar com VirusTotal, PhishTank e Google Safe Browsing.
Ferramentas e Recursos
- URLScan.io: https://urlscan.io/
- API do URLScan: https://urlscan.io/docs/api/
- Scanner de URL do VirusTotal: https://www.virustotal.com/
- PhishTank: https://phishtank.org/
- Google Safe Browsing: https://transparencyreport.google.com/safe-browsing/search
- Any.Run: https://any.run/ (sandbox interativo)
- Hybrid Analysis: https://www.hybrid-analysis.com/
Validação
- Escaneie com sucesso uma URL suspeita via API
- Extraia o screenshot e identifique falsificação de marca
- Documente a cadeia completa de redirecionamentos
- Gere uma lista de IOCs a partir dos resultados da varredura
- Correlacione as descobertas com pelo menos 2 fontes de inteligência de ameaças