elceef/dnstwistMoteur de permutation de noms de domaine pour détecter les attaques de phishing homographiques, le typosquattage et l'usurpation de marque
Voyez dans quel genre d'ennuis les utilisateurs peuvent se retrouver en essayant de saisir votre nom de domaine. Trouvez les domaines ressemblants que des adversaires peuvent utiliser pour vous attaquer. Peut détecter le typosquatting, les attaques de phishing, la fraude et l'usurpation de marque. Utile comme source supplémentaire de renseignement sur les menaces ciblées.
Le fuzzing DNS est un flux de travail automatisé qui vise à découvrir des domaines potentiellement malveillants ciblant votre organisation. Cet outil génère une liste complète de permutations basées sur un nom de domaine fourni, puis vérifie si l'une de ces permutations est utilisée. De plus, il peut générer des hachages flous de pages web pour détecter des attaques de phishing en cours ou l'usurpation de marque, et bien plus encore !
Pressé ? Essayez-le dans votre navigateur web : dnstwist.it
Python PIP
$ pip install dnstwist[full]
Vous pouvez également installer le strict minimum et ajouter les autres dépendances manuellement selon vos besoins :
$ pip install dnstwist
Git
Si vous souhaitez exécuter la dernière version du code, vous pouvez l'installer depuis Git :
$ git clone https://github.com/elceef/dnstwist.git
$ cd dnstwist
$ pip install .
Debian/Ubuntu/Kali Linux
Exécutez la commande suivante pour installer l'outil avec tous les paquets supplémentaires :
$ sudo apt install dnstwist
Fedora Linux
$ sudo dnf install dnstwist
Arch Linux User Repository (yay)
$ yay -S dnstwist
macOS
Cela installera dnstwist ainsi que toutes les dépendances, et le binaire sera
ajouté à $PATH.
$ brew install dnstwist
Docker
Téléchargez et exécutez l'image officielle depuis le Docker Hub :
$ docker run -it elceef/dnstwist
Vous pouvez également construire vos images locales :
$ docker build -t dnstwist .
$ docker build -t dnstwist:phash --build-arg phash=1 .
L'outil exécutera le nom de domaine fourni à travers ses algorithmes de fuzzing et générera une liste de domaines de phishing potentiels ainsi que les enregistrements DNS.
Généralement, des milliers de permutations de domaines sont générées - en particulier pour les domaines d'entrée plus longs. Dans de tels cas, il peut être pratique de n'afficher que ceux qui sont enregistrés :
$ dnstwist --registered domain.name
Assurez-vous que votre serveur DNS peut gérer des milliers de requêtes en peu de temps. Sinon, vous pouvez spécifier un serveur DNS externe ou DNS-over-HTTPS avec l'argument --nameservers.
Si les permutations de domaines générées par les algorithmes de fuzzing sont insuffisantes, veuillez fournir à dnstwist un fichier dictionnaire. Quelques exemples de dictionnaires contenant une liste des mots les plus courants utilisés dans les campagnes de phishing sont inclus.
$ dnstwist --dictionary dictionaries/english.dict domain.name
Si vous devez vérifier si des domaines avec différents TLD existent, il suffit de fournir un fichier dictionnaire contenant la liste des TLD.
$ dnstwist --tld dictionaries/common_tlds.dict domain.name
En revanche, si seuls certains algorithmes doivent être utilisés, l'argument --fuzzers est disponible ; il prend une liste séparée par des virgules.
$ dnstwist --fuzzers "homoglyph,hyphenation" domain.name
En plus de la sortie colorée dans le terminal, l'outil permet d'exporter les résultats au format CSV et JSON :
$ dnstwist --format csv domain.name | column -t -s,
$ dnstwist --format json domain.name | jq
Si vous avez seulement besoin des permutations brutes sans effectuer de résolutions DNS, utilisez l'argument --format list :
$ dnstwist --format list domain.name
L'outil peut effectuer des recherches en temps réel pour renvoyer la localisation géographique (approximée au pays) des adresses IPv4.
$ dnstwist --geoip domain.name
La bibliothèque GeoIP2 est utilisée par défaut. L'emplacement de la base de données des pays doit être spécifié avec la variable d'environnement $GEOLITE2_MMDB. Si la bibliothèque ou la base de données ne sont pas présentes, l'outil se rabattra sur l'ancien GeoIP Legacy.
Pour afficher toutes les options disponibles avec de brèves descriptions, exécutez simplement l'outil sans aucun argument.
Vérifier manuellement chaque nom de domaine pour déterminer s'il sert un site de phishing peut être chronophage. Pour y remédier, dnstwist utilise ce que l'on appelle des hachages flous (locality-sensitive hash, LSH) et des hachages perceptuels (pHash). Le hachage flou est un concept qui implique la capacité de comparer deux entrées (code HTML) et de déterminer un niveau fondamental de similarité, tandis que le hachage perceptuel est une empreinte dérivée des caractéristiques visuelles d'une image (capture d'écran de page web).
Hachage flou
La fonctionnalité unique de détection de code source HTML similaire peut être activée avec l'argument --lsh. Pour chaque domaine généré, dnstwist récupérera le contenu du serveur HTTP répondant (en suivant les redirections éventuelles), normalisera le code HTML et comparera son hachage flou avec celui du domaine d'origine (initial). Le niveau de similarité est exprimé en pourcentage.
Dans les cas où l'URL effective est identique à celle du domaine d'origine, le hachage flou n'est pas calculé du tout afin de rejeter les indications de faux positifs.
Remarque : Gardez à l'esprit qu'il est plutôt improbable d'obtenir une correspondance à 100 %, même pour les frameworks d'attaque MITM, et qu'un site de phishing peut avoir un code source HTML complètement différent.
$ dnstwist --lsh domain.name
Dans certains cas, les sites de phishing sont servis depuis une URL spécifique. Si vous fournissez une adresse URL complète ou partielle comme argument, dnstwist l'analysera et l'appliquera à chaque variante de nom de domaine générée. Utilisez --lsh-url pour remplacer l'URL à partir de laquelle la page web d'origine est récupérée.
$ dnstwist --lsh https://domain.name/owa/
$ dnstwist --lsh --lsh-url https://different.domain/owa/ domain.name
Par défaut, ssdeep est utilisé comme algorithme LSH, mais TLSH est également disponible et peut être activé comme suit :
$ dnstwist --lsh tlsh domain.name
Hachage perceptuel
Si le navigateur Chromium est installé, dnstwist peut utiliser son mode headless,
qui fonctionne sans interface graphique, pour capturer des captures d'écran de pages web,
les rendre et calculer des valeurs pHash. Ces valeurs pHash sont
ensuite comparées pour évaluer la similarité visuelle, exprimée en pourcentage.
$ dnstwist --phash domain.name
De plus, il est possible d'enregistrer les captures d'écran capturées au format PNG à un emplacement de votre choix :
$ dnstwist --phash --screenshots /tmp/domain domain.name