La herramienta Jeopardize está desarrollada para proporcionar capacidades básicas de inteligencia y respuesta a amenazas contra dominios de phishing al mínimo costo posible. Detecta candidatos de dominio de phishing registrados (typosquatting, homógrafo, etc.), los analiza y les asigna un puntaje de riesgo. Después de eso, envía credenciales de aspecto válido a los formularios de inicio de sesión en esos sitios de phishing.

¿Cómo funciona?

1- Generando las combinaciones
Jeopardize genera diferentes combinaciones de palabras con un dominio dado. ( dnstwist ayuda aquí) Por ejemplo, si el dominio dado es acmebank.com, las combinaciones serían acmebnak, acmeban, amcebank, etc. Si su dominio tiene un nombre corto o genérico (por ejemplo: aa.com) Esta herramienta no ayudará tú. Funciona mejor para nombres únicos.

2- Detección de dominios registrados
Jeopardize tiene dos métodos de detección diferentes para identificar dominios registrados:
Brute: Jeopardize combina las palabras generadas (acmebnak, amcebank, etc.) con todos los TLD (com, net, xyz, live, etc.) y realiza consultas whois para todos de ellos. Pros: no requiere ninguna clave API, totalmente gratis. / Contras:Toma mucho tiempo
Dailly Con la clave API Zonefiles.io dada, Jeopardize elimina todos los dominios registrados en las últimas 24 horas y busca las palabras generadas (acmebnak, amcebank, etc.). Pros: Rápido, puede usarse fácilmente como inteligencia de amenaza diaria . Contras: Requiere Zonefiles.io API Key (edición Pro)

3- Análisis de los dominios Los
dominios detectados ya son sospechosos. Pero hay factores que aumentan la probabilidad de ser un dominio de phishing. Además, debemos analizar si hay alguna página de phishing instalada en ese dominio para que podamos tomar medidas contra ellos. Jeopardize verifica los siguientes elementos de los dominios registrados:
  • IP: si se asigna una dirección IP al dominio. En caso afirmativo, aumentará el puntaje de riesgo de phishing.
  • Servidor web: si hay un servidor web instalado en ese dominio. En caso afirmativo, aumentará el puntaje de riesgo de phishing.
  • Servidores de nombres: comprobación de los servidores de nombres. Si usa Cloudflare, el puntaje de riesgo de phishing aumentará (sin ofender)
  • Tamaño del sitio web: Verificación del tamaño del sitio web. Las páginas de phishing generalmente contienen diferentes imágenes, archivos css y js. El puntaje de riesgo de phishing aumentará si está por encima de un umbral predefinido.
  • Formulario de inicio de sesión: si se identifica un formulario de inicio de sesión en el sitio web. En caso afirmativo, aumentará el puntaje de riesgo de phishing.
  • Certificado SSL: comprobación de la CA del certificado SSL. Si es emitido por una CA que no sea Cloudflare o LetsEncrypt, el puntaje de riesgo de phishing "disminuirá".
  • Fecha de registro: Verificar la fecha de registro del dominio. Si es más reciente que un mes, el puntaje de riesgo de phishing aumentará.
  • Clasificación de Alexa: Verificación de la clasificación de Alexa del dominio. Si no aparece en la lista, el puntaje de riesgo de phishing aumentará.
4- Poner en peligro los formularios de inicio de sesión
Si el puntaje de phishing es alto y el sitio web tiene un formulario de inicio de sesión, Jeopardize lo completará automáticamente con la lista de nombre de usuario / contraseña proporcionada.

Guardar los resultados

Guarda la información de los dominios de phishing detectados en un archivo XML. Por ejemplo:

<domain>  <address>acmebnak.com</address>  <name_servers>ns1.cloudflare.com ns2.cloudflare.com</name_servers>  <mx_servers> </mx_servers>  <date_flag>True</date_flag>  <alexa_flag>False</alexa_flag>  <webserver_flag>True</webserver_flag>  <certificate_flag>False</certificate_flag>  <form_flag>True</form_flag>  <phishing_score>85</phishing_score></domain>
La instalación

Jeopardize requiere Python3 para funcionar y probarse en macOS, Ubuntu 18.04 y sistemas Linux basados ​​en Debian. Primero, clone el repositorio:

git clone https://github.com/utkusen/jeopardize.git
cd jeopardize
pip3 install -r requirements.txt

También debe instalar chromedriver para selenio (Requerido para rellenar formularios. No lo usaré, no es necesario instalarlo)

en Ubuntu: Ejecutarsudo apt install chromium-chromedriver

en Kali (Debian -based): Ejecutar pip3 install chromedriver-binary

en macOS: Ejecutar brew cask install chromedriver