telefonicatc2tech/typodetectアクティブなドメインの変異を検出して、フィッシングやスミッシングを防止します。IANA TLD、ブロックチェーンDNS検証、DoHマルウェアレポートを使用します。JSONまたはTXTレポートを出力します。
このツールは、ブルーチーム、SOC、研究者、企業が自社ドメインのアクティブな変異を検出し、フィッシングやスミッシングなどの不正活動にこれらのドメインが使用されるのを防ぐ機能を提供します。
そのために、TypodetectはIANAウェブサイトに公開されている最新のTLD（トップレベルドメイン）の使用、Blockchain DNSにおける分散型ドメインの検証、DoHサービス（DNS over HTTPS）でのマルウェアレポートを可能にします。
ユーザーの利便性のために、TypodetectはデフォルトでJSON形式でレポートを提供します。また、ユーザーの選択に応じてTXT形式でも提供し、画面上に生成された変異、アクティブなドメイン、マルウェアまたは分散型ドメインとして検出されたレポートの概要を表示します。
このリポジトリをクローンします：
git clone https://github.com/Telefonica/typodetect
セットアップを実行してインストールします：
python3 pip install -r requirements.txt
TypoDetectディレクトリ内で：
python3 typodetect.py -h
usage: typodetect.py [-h] [-u UPDATE] [-t N_THREADS] [-d DOH_SERVER] [-o OUTPUT] domain
positional arguments:
domain specify domain to process
optional arguments:
-h, --help show this help message and exit
-u UPDATE, --update UPDATE
(Y/N) for update TLD's database (default:N)
-t N_THREADS, --threads N_THREADS
Number of threads for processing (default:5)
-d DOH_SERVER, --doh DOH_SERVER
Section DoH for use: [1] ElevenPaths (default) [2] Cloudfare
-o OUTPUT, --output OUTPUT
JSON or TXT, options of filetype (default:JSON)
簡単な分析の場合：
python3 typodetect.py <domain>
IANAデータベースの更新と分析の場合：
python3 typodetect.py -u y <domain>
より多くのスレッドで分析する場合：
python3 typodetect.py -t <number of threads> <domain>
異なるDoHを使用する場合（現在はElevenPathsまたはCloudFareのみ）
python3 typodetect.py -d 2 <domain>
TXTレポートを作成する場合
python3 typodetect.py -o TXT <domain>
reportsディレクトリ内に、レポートファイルが保存されます。デフォルトではJSON形式で、分析したドメイン名と日付がファイル名に含まれます。例：
elevenpaths.com2021-01-26T18:20:10.34568.json
JSONレポートは、検出された各アクティブな変異に対して次の構造を持ちます：
{ id:
"report_DoH" : <string>
"domain": <string>
"A": [ip1, ip2, ...]
"MX": [mx1, mx2, ...]
}
各フィールドには次の情報が含まれます：
id: Integer id of mutation
"report_DoH": "" - Domain of Descentralised DNS
"Malware" - Domain reported as dangerous for DoH
"Good" - Domain reported as good for DoH
"domain": Mutation detected as active.
"A": IP's address of A type in DNS of the mutation.
"MX": IP's or CNAME of MX type in DNS of the mutation.