wtfis

Herramienta de consulta pasiva de hostnames, dominios e IPs para humanos

¿Qué es?

wtfis es una herramienta de línea de comandos que recopila información sobre un dominio, FQDN o dirección IP utilizando varios servicios OSINT. A diferencia de otras herramientas de su tipo, está construida específicamente para el consumo humano, proporcionando resultados que son bonitos (los resultados pueden variar) y fáciles de leer y entender.

Esta herramienta asume que estás utilizando cuentas de nivel gratuito / comunitario, por lo que realiza la menor cantidad posible de llamadas a la API para minimizar el impacto en cuotas y límites de peticiones.

El nombre del proyecto es un juego de palabras con «whois».

Fuentes de datos

Servicio	Usado en la consulta	Requerido	Plan gratuito
Virustotal	Todo	No	Sí
AbuseIPDB	Dirección IP	No	Sí
Greynoise	Dirección IP	No	Sí
IP2Location	Dirección IP	No	Sí
IP2Whois	Dominio/FQDN	No	Sí
IPinfo	Dirección IP	No	Sí (sin registro)
IPWhois	Dirección IP	No	Sí (sin registro)
Shodan	Dirección IP	No	No
URLhaus	Todo	No	Sí

Virustotal

La fuente principal de información. Obtiene:

• Hostname (FQDN), dominio o IP
  • Estadísticas de análisis más recientes con detalle del proveedor
  • Puntuación de reputación (basada en votos de la comunidad de VT)
  • Clasificaciones de popularidad (Alexa, Cisco Umbrella, etc.) (solo FQDN y dominio)
  • Categorías (asignadas por diferentes proveedores)
• Resoluciones (solo FQDN y dominio)
  • Últimas n direcciones IP (predeterminado: 3, máx.: 10)
  • Estadísticas de análisis más recientes de cada IP anterior
• Whois
  • Solo como respaldo: si las credenciales de IP2Whois no están disponibles
  • Varios datos whois sobre el propio dominio

AbuseIPDB

AbuseIPDB es una base de datos colaborativa de direcciones IP maliciosas reportadas. A través de su API, wtfis muestra:

• Puntuación de confianza de abuso (0-100)
• Número de reportes

IP2Location

Fuente alternativa de consulta de geolocalización y ASN para direcciones IP (la predeterminada es IPWhois). Obtiene:

• Geolocalización
• ASN y Org
• Proxy (True o False)

IP2Whois e IP2Location son funciones diferentes del mismo servicio, por lo que solo necesitas registrarte una vez. La clave de API puede utilizarse entonces para ambas consultas.

IP2Whois

Se usa opcionalmente si se proporcionan credenciales. Obtiene:

• Whois
  • Varios datos whois sobre el propio dominio

Se recomienda IP2Whois en lugar de Virustotal para los datos whois por un par de razones:

• El formato de los datos whois de VT es menos consistente
• Los datos whois de IP2Whois suelen ser de mejor calidad que los de VT. Además, los datos del registrante de VT aparentemente están anonimizados.
• Puedes ahorrar una llamada a la API de VT al delegar en IP2Whois.

IPinfo

Otra fuente alternativa de consulta de geolocalización y ASN para direcciones IP. Obtiene:

• Geolocalización
• ASN y Org
• Hostname
• Anycast (true o false)

IPWhois

Fuente de consulta de geolocalización y ASN predeterminada para direcciones IP. Obtiene:

• Geolocalización
• ASN, Org e ISP
• Dominio

IPWhois no debe confundirse con IP2Whois, que proporciona datos Whois de dominios.

Greynoise

Usando la API comunitaria de Greynoise, wtfis mostrará si una IP está en uno de los conjuntos de datos de Greynoise:

• Noise: la IP ha sido vista escaneando Internet regularmente
• RIOT: la IP pertenece a una aplicación empresarial común (p. ej., Microsoft O365, Google Workspace, Slack)

Más información sobre los conjuntos de datos aquí.

Además, la API también devuelve la clasificación que Greynoise hace de una IP (si está disponible). Los valores posibles son benign, malicious y unknown.

Shodan

Obtiene datos del endpoint /shodan/host/{ip} (consulta la documentación). Para cada IP, obtiene:

• Lista de puertos y servicios abiertos
• Sistema operativo (si está disponible)
• Etiquetas (asignadas por Shodan)

URLhaus

URLhaus es una base de datos colaborativa de URLs maliciosas reportadas. Este enriquecimiento proporciona información sobre si el hostname o la IP consultados se están usando o se usaron para la distribución de malware a través de HTTP o HTTPS. Los datos proporcionados incluyen:

• Número de URLs de malware actualmente en línea y totales
• Si el hostname o la IP se encuentran actualmente en las listas negras públicas DNSBL y SURBL
• Todas las etiquetas que se han asignado a la URL a lo largo de su historial en la base de datos de URLhaus

Instalación

$ pip install wtfis

Para instalar vía conda (desde conda-forge), consulta wtfis-feedstock.

Para instalar vía brew:

brew install wtfis

Configuración

wtfis utiliza estas variables de entorno (todas opcionales):

• VT_API_KEY - Clave de API de Virustotal
• ABUSEIPDB_API_KEY - Clave de API de AbuseIPDB
• IP2LOCATION_API_KEY - Clave de API de IP2Location
• IP2WHOIS_API_KEY - Clave de API de IP2Whois
• GREYNOISE_API_KEY - Clave de API de Greynoise
• SHODAN_API_KEY - Clave de API de Shodan
• URLHAUS_API_KEY - Clave de API de URLhaus
• WTFIS_DEFAULTS - Argumentos booleanos predeterminados
• GEOLOCATION_SERVICE - Servicio de consulta de geolocalización / ASN a utilizar

Configúralas usando tu propio método.

Alternativamente, crea un archivo en tu directorio personal ~/.env.wtfis con las opciones anteriores. Consulta .env.wtfis.example para ver una plantilla. NOTA: ¡No olvides ejecutar chmod 400 en el archivo!

Uso

usage: wtfis [-h] [-A] [-s] [-g] [-a] [-u] [-m N] [-n] [-1] [-V] [--geolocation-service {ip2location,ipinfo,ipwhois}] entity

positional arguments:
  entity                Hostname, domain or IP