Analisando URLs Maliciosas com URLScan

Visão Geral

URLScan.io é um serviço gratuito para escanear e analisar URLs suspeitas. Ele captura capturas de tela, conteúdo DOM, transações HTTP, comportamento de JavaScript e conexões de rede de páginas da web em um ambiente isolado. Esta habilidade abrange o uso da interface web e da API do URLScan para investigar URLs de phishing, páginas de coleta de credenciais e redirecionamentos maliciosos sem expor o sistema do analista a riscos.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de URLs maliciosas com urlscan
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Conta URLScan.io (nível gratuito disponível, chave de API para automação)
• Python 3.8+ com a biblioteca requests
• Compreensão de protocolos HTTP e tecnologias web
• Familiaridade com padrões de URL de phishing

Conceitos Chave

Capacidades do URLScan

1. Navegação segura: Renderiza URLs em uma instância isolada do Chromium
2. Captura de tela: Instantâneo visual da página renderizada
3. Análise DOM: Conteúdo HTML completo após a execução do JavaScript
4. Log de rede: Todas as requisições HTTP feitas pela página (formato HAR)
5. Análise de certificado: Detalhes do certificado SSL/TLS
6. Detecção de tecnologia: Identifica frameworks e bibliotecas web
7. Mapeamento IP/ASN: Inteligência de infraestrutura
8. Verdicto: Classificação comunitária e automatizada

Sinais de Alerta de URLs de Phishing

• Domínios recém-registrados (< 30 dias)
• Serviços de hospedagem gratuitos (Wix, GitHub Pages, Firebase)
• Encurtadores de URL escondendo o destino final
• Profundidade excessiva de subdomínios (login.microsoft.com.evil.com)
• Nome da marca no subdomínio ou caminho, não no domínio
• Portas não padrão
• URIs de dados ou conteúdo codificado em base64
• Páginas com muito JavaScript e HTML mínimo

Fluxo de Trabalho

Etapa 1: Enviar URL para o URLScan

Web: Navigate to https://urlscan.io and submit the suspicious URL
API: POST https://urlscan.io/api/v1/scan/
     Header: API-Key: your-api-key
     Body: {"url": "https://suspicious-url.com", "visibility": "private"}

Etapa 2: Analisar Resultados

• Revisar a captura de tela para identificar falsificação de marca
• Verificar redirecionamentos e o URL de destino final
• Examinar o DOM em busca de formulários de entrada de credenciais
• Revisar as requisições de rede em busca de endpoints de exfiltração de dados
• Verificar a validade e o emissor do certificado SSL

Etapa 3: Extrair IOCs

• Domínios e IPs contatados
• URLs na cadeia de redirecionamento
• Hashes SHA-256 dos recursos da página
• Hashes de arquivos JavaScript

Etapa 4: Cruzar com Inteligência de Ameaças

Use a scripts/process.py para automatizar a varredura de URLs, extrair IOCs e cruzar com VirusTotal, PhishTank e Google Safe Browsing.

Ferramentas e Recursos

• URLScan.io: https://urlscan.io/
• URLScan API: https://urlscan.io/docs/api/
• Scanner de URL do VirusTotal: https://www.virustotal.com/
• PhishTank: https://phishtank.org/
• Google Safe Browsing: https://transparencyreport.google.com/safe-browsing/search
• Any.Run: https://any.run/ (sandbox interativo)
• Hybrid Analysis: https://www.hybrid-analysis.com/

Validação

• Escanear com sucesso uma URL suspeita via API
• Extrair captura de tela e identificar falsificação de marca
• Documentar a cadeia completa de redirecionamento
• Gerar lista de IOCs a partir dos resultados do escaneamento
• Cruzar os achados com pelo menos 2 fontes de inteligência de ameaças