Automated Artifact Analysis
Extracted from Phishing Analysis(2).pdf - source PDF page(s) 109-113.
Cette leçon va montrer comment vous pouvez analyser des artefacts à partir de la console d' PhishTool analyse, notamment en vérifiant le WHOIS, en vérifiant la VirusTotal réputation des hachages et des URL MD5 et en visualisant les URL. Le fait de faire tout cela en PhishTool interne permet de rationaliser les enquêtes et vous permet d'obtenir les informations dont vous avez besoin en un seul endroit.
Analyse des artéfacts de fichiers
PhishTool récupérera automatiquement le nom du fichier et le hachage MD5 à partir de toutes les pièces jointes à un e-mail, et la console dispose d'un bouton qui nous permet de rechercher la valeur de hachage VirusTotal directement depuis la console. Si l'e-mail envoyé contient une pièce jointe, cliquez sur le bouton suivant sur le côté droit pour le soumettre à une vérification de réputation.
Cela générera automatiquement une requête VirusTotal de recherche pour le hachage du fichier MD5 et l'ouvrira dans une nouvelle fenêtre de navigateur.
Analyse des artefacts Web
De la même manière que nous utilisons URL2PNG pour visualiser ce qui se trouve à la fin d'une URL, PhishTool il permet de générer une capture d'écran en direct d'une URL. Si un e-mail contenant des URL est envoyé, PhishTool qu'il soit malveillant ou non, une capture Web peut être consultée en cliquant sur l'URL et en sélectionnant Web Capture.
Cette fonctionnalité nous fournit également les requêtes HTTP effectuées et les en-têtes du site.
Une autre activité d'analyse que nous pouvons effectuer depuis la PhishTool console est la recherche dans le WHOIS, qui nous fournit des informations sur le domaine, telles que l'endroit où il est hébergé, le propriétaire du domaine, sa durée de vie et ses coordonnées. Essayons une recherche WHOIS sur une URL différente de celle d'un autre e-mail de phishing.
Vous trouverez ci-dessous la barre latérale qui proviendra du côté droit de la console d'analyse et qui nous fournira de précieuses données WHOIS. Nous pouvons en déduire que le domaine existe depuis 2643 jours, que le nom de domaine a été enregistré auprès de Domain.com LLC et que nous avons quelques adresses e-mail de contact.
