Manual de análisis de URL maliciosas — del enlace al veredicto

Respuesta primero

Analiza una URL sospechosa en seis pasos: Preservar → Reputación → DNS → Página → Infraestructura → Veredicto. Una puntuación de reputación por sí sola nunca es el veredicto.

1. Situación

Un usuario, un filtro de buzón o una fuente de amenazas marcó una URL. Puede aparecer en un correo, un anuncio, un enlace acortado o un mensaje de chat. Tu objetivo es decidir — con evidencia — si es benigna, sospechosa o maliciosa, y qué hacer a continuación.

Antes de tocar la URL, preserva el original: registra la cadena sin procesar completa, el remitente, la marca de tiempo y el canal donde apareció. Luego neutralízala (p. ej., hxxp://example[.]com/path) para que nunca hagas clic por accidente mientras trabajas.

2. Objetivo

Determina, en orden:

1. ¿La calificación de la URL es limpia, sospechosa o maliciosa?
2. ¿A qué host resuelve realmente?
3. ¿Redirige la página, suelta un payload o roba credenciales mediante phishing?
4. ¿Qué infraestructura está conectada (IP, ASN, dominios, hashes)?
5. ¿Cuál es la clasificación y la respuesta recomendada?

3. Qué recopilar

• La URL sin procesar completa (protocolo, host, ruta, cadena de consulta, fragmento).
• El origen acortado (si existe) y su expansión.
• El nombre de host sin la barra final — esto es lo que compruebas para la reputación.
• Cualquier dominio, dirección IP y hash visible en la URL o en la página obtenida.
• El contexto: dónde apareció el enlace y quién lo envió.

4. Herramientas a usar

• URL Analyzer — disecciona la URL en componentes y la normaliza.
• Reputación de URL — calificación de reputación del host y la URL.
• DNS Lookup — resuelve A/AAAA/CNAME y comprueba el registrador/ASN del host.
• Reputación de IP — comprueba la IP del host en busca de abusos previos.
• IOC Lookup — normaliza y correlaciona cada indicador extraído.
• Espacio de trabajo de investigación — hace seguimiento de los hallazgos por incidente.

5. Qué buscar

En la URL misma:

• Dirección IP o nombre de host punycode sospechoso en lugar de un dominio de marca.
• Nombres de marca mal escritos (typosquatting).
• Rutas lookalike que roban credenciales (/login, /signin, /verify).
• Subdominios excesivos o una ruta que oculta el host real.
• Esquemas javascript:, data: o file: en canales inesperados.

En DNS y reputación:

• Discrepancia entre la marca anunciada y el ASN/registrador real.
• Dominios recién registrados o de vida corta.
• Fuentes de reputación en desacuerdo (marca para revisión más profunda).

En la página obtenida (cuando sea seguro hacerlo — usa un sandbox o un servicio, nunca tu propio navegador con sesiones):

• Cadenas de redirección hacia una página de phishing.
• Descargas automáticas o scripts que obtienen payloads externos.
• Formularios que piden contraseñas, códigos MFA o datos de pago.

6. Cómo validar

Una calificación benigna es aquella en la que ninguna de las señales anteriores está presente y las fuentes de reputación coinciden.

Una calificación sospechosa muestra una o más banderas rojas (typosquatting, registro reciente, división de reputación) pero sin comportamiento confirmado de credenciales o payload.

Una confirmación maliciosa requiere al menos un comportamiento corroborante: una redirección a un kit de phishing conocido, la captura exitosa de un formulario de phishing, o un hash de payload que coincide con la inteligencia de amenazas. No llames malicioso a un enlace solo por la reputación — existen páginas benignas con typosquatting y los dominios legítimos se marcan brevemente.

Documenta la cadena de evidencia para cada paso de clasificación para que el veredicto pueda revisarse.

7. Entidades relacionadas y cómo escalar

• Si el análisis confirma un patrón de campaña, relaciona la URL con la campaña de phishing y el actor de amenazas sospechoso de ejecutarla.
• Extrae y correlaciona los IOCs (dominios, IPs, hashes) con IOC Lookup — cada indicador debería ser normalizable y buscable.
• Si se capturaron credenciales, trátalo como un incidente: guía al usuario para rotar la credencial y activar MFA inmediatamente.

8. Mitigación y respuesta

1. Bloquea la URL/dominio en la capa de filtrado.
2. Busca en tus registros otro correo que cite el mismo host o indicadores.
3. Alerta a los usuarios de la cohorte afectada y dirígelos al restablecimiento de contraseña más MFA.
4. Añade los indicadores confirmados a tu lista de bloqueo y compártelos con los socios de inteligencia de amenazas.
5. Registra la investigación y el resultado para una correlación posterior.

Inicia una nueva investigación para hacer seguimiento del alcance, la evidencia y la remediación por indicador — registra cada hallazgo con su fuente y marca de tiempo.

9. Referencias

• RFC 3986 — Sintaxis de URI
• CISA — Orientación sobre phishing