telefonicatc2tech/typodetect활성 도메인 변형을 탐지하여 피싱 및 스미싱을 방지합니다. IANA TLDs, 블록체인 DNS 검증, DoH 악성코드 보고서를 사용합니다. JSON 또는 TXT 보고서를 출력합니다.
이 도구는 블루 팀, SOC, 연구원 및 기업이 자신의 도메인의 활성 변이(mutations)를 탐지하여, 피싱 및 스미싱과 같은 사기 활동에 이러한 도메인이 사용되는 것을 방지할 수 있게 해줍니다.
이를 위해 TypoDetect는 IANA 웹사이트에 게시된 최신 버전의 TLD(최상위 도메인) 사용, 블록체인 DNS의 분산형 도메인 검증, DoH(DNS over HTTPS) 서비스의 멀웨어 보고서 활용을 지원합니다.
사용자 편의를 위해 TypoDetect는 기본적으로 JSON 형식으로 보고서를 제공하며, 사용자 선택에 따라 TXT 형식으로도 제공합니다. 또한 생성된 변이, 활성 도메인, 멀웨어 또는 분산형 도메인으로 탐지된 보고서의 요약을 화면에 표시합니다.
이 저장소를 클론합니다:
git clone https://github.com/Telefonica/typodetect
설치를 위해 setup을 실행합니다:
python3 pip install -r requirements.txt
TypoDetect 디렉토리 내에서:
python3 typodetect.py -h
usage: typodetect.py [-h] [-u UPDATE] [-t N_THREADS] [-d DOH_SERVER] [-o OUTPUT] domain
positional arguments:
domain 처리할 도메인 지정
optional arguments:
-h, --help 이 도움말 메시지를 표시하고 종료
-u UPDATE, --update UPDATE
(Y/N) TLD 데이터베이스 업데이트 여부 (기본값:N)
-t N_THREADS, --threads N_THREADS
처리에 사용할 스레드 수 (기본값:5)
-d DOH_SERVER, --doh DOH_SERVER
사용할 DoH 섹션: [1] ElevenPaths (기본값) [2] Cloudflare
-o OUTPUT, --output OUTPUT
JSON 또는 TXT, 파일 형식 옵션 (기본값:JSON)
간단한 분석:
python3 typodetect.py <domain>
IANA 데이터베이스 업데이트 및 분석:
python3 typodetect.py -u y <domain>
더 많은 스레드로 분석:
python3 typodetect.py -t <number of threads> <domain>
다른 DoH 사용 (현재 ElevenPaths 또는 CloudFare만 가능):
python3 typodetect.py -d 2 <domain>
TXT 보고서 생성:
python3 typodetect.py -o TXT <domain>
보고서 파일은 reports 디렉토리 내에 기본적으로 JSON 형식으로 저장되며, 파일 이름은 분석된 도메인 이름과 날짜로 구성됩니다. 예:
elevenpaths.com2021-01-26T18:20:10.34568.json
JSON 보고서는 각 활성 변이에 대해 다음과 같은 구조를 갖습니다:
{ id:
"report_DoH" : <string>
"domain": <string>
"A": [ip1, ip2, ...]
"MX": [mx1, mx2, ...]
}
각 필드는 다음 정보를 포함합니다:
id: 변이의 정수 ID
"report_DoH": "" - 분산형 DNS 도메인
"Malware" - DoH에서 위험한 것으로 보고된 도메인
"Good" - DoH에서 양호한 것으로 보고된 도메인
"domain": 활성 상태로 탐지된 변이.
"A": 변이 DNS의 A 타입 IP 주소.
"MX": 변이 DNS의 MX 타입 IP 또는 CNAME.