Como recuperar dados do histórico WHOIS do domínio após a redação

As informações WHOIS são indispensáveis para qualquer pesquisador de segurança cibernética. Trata-se de um recurso essencial para rastrear os proprietários de registros por diversos motivos, que vão desde a resolução de disputas sobre marcas registradas e cybersquatting até a configuração de sites. Com os registros WHOIS, um analista de segurança ou administrador de site pode entrar em contato rapidamente com um proprietário de registro para resolver ou registrar uma disputa, transferir um domínio com facilidade ou configurar um certificado SSL (Secure Sockets Layer) válido.

Com a implementação do Regulamento Geral de Proteção de Dados (GDPR), no entanto, a Corporação da Internet para Atribuição de Nomes e Números (ICANN) foi obrigada a modificar suas políticas de disponibilidade de dados do WHOIS. A implementação da ICANN da Especificação Temporária para Dados de Registro de Domínios Genéricos de Primeiro Nível (gTLDs) em 2018 resultou na redação de milhões de registros WHOIS do domínio público.

De acordo com a nova regra, tanto os registradores quanto os registros devem declarar explicitamente que os detalhes de propriedade de um domínio foram "Redigidos para fins de privacidade", a menos, é claro, que o proprietário do domínio consinta em compartilhar publicamente suas informações de registrante. Essa política se aplica a todos os dados acessíveis por meio dos protocolos WHOIS ou RDAP (Registration Data Access Protocol).

Desde então, as pesquisas de WHOIS se tornaram mais complicadas. O que antes era uma atividade que levava apenas alguns minutos, agora envolve horas de pesquisa na Internet e saltos de um aplicativo ou banco de dados para outro. Felizmente, há outras maneiras listadas abaixo pelas quais os analistas podem obter esses dados críticos de domínio, como uma ferramenta de pesquisa de histórico do WHOIS.

Quais são as alternativas?

No entanto, o GDPR não significa necessariamente o fim das informações WHOIS disponíveis publicamente. A especificação temporária ainda permite que os usuários obtenham dados WHOIS dos operadores de registro por motivos legítimos, mediante o preenchimento de uma solicitação. As partes solicitantes devem ser capazes de provar que o domínio esteve envolvido em cybersquatting, fraude e outras atividades ilegais. Embora o processo de solicitação tenha seu próprio conjunto de desafios (ou seja, a falta de padronização das etapas de preenchimento), não há motivo para que os pesquisadores de segurança não o utilizem.

Para solicitações urgentes, como no caso de uma investigação criminal, os usuários podem solicitar uma intimação. As intimações podem custar mais aos usuários e levar tempo, mas é o caminho mais rápido para as partes solicitantes que chegam a um beco sem saída com suas plataformas WHOIS ou não recebem nenhuma resposta dos registradores. Às vezes, alguns registradores podem não responder a essas solicitações por medo de violar o GDPR.

Outra maneira de os pesquisadores de segurança cibernética obterem o registro do registrante de um domínio é solicitando-o aos contatos de abuso. Os registradores tiveram que colocar um e-mail de contato de abuso para um domínio em conformidade com o GDPR.

Como a pesquisa do histórico do WHOIS pode ajudar

Os pesquisadores de domínios podem contar com a Pesquisa de histórico do WHOIS quando encontrarem detalhes do WHOIS protegidos por privacidade, especialmente para domínios infratores. Ao recuperar os detalhes do último registrante conhecido de um domínio, é possível saber mais sobre o uso anterior e as afiliações de um domínio.

A Pesquisa de histórico do WHOIS faz parte do nosso conjunto nove em um de ferramentas de monitoramento e pesquisa de domínios, o Domain Research Suite (DRS). Ela permite que os usuários encontrem os registros históricos de um domínio. Eles são segregados por data em que o domínio recebeu atualizações e extraídos de um banco de dados abrangente que engloba mais de 15,6 bilhões de domínios que nossa empresa rastreia há mais de dez anos. Isso explica por que a ferramenta produz resultados precisos e completos para os domínios.

Abaixo estão alguns casos de uso comuns da ferramenta.

• Combate à fraude: O WHOIS History Search pode ser usado para coletar evidências sobre domínios fraudulentos ou infratores para disputas de marcas registradas, ações judiciais e investigações cibernéticas.

• Rastreamento de invasores: A ferramenta pode encontrar associações entre domínios suspeitos e redes conhecidas de criminosos cibernéticos.

• Investimento em domínios: Os usuários de domínios podem usá-lo para determinar se um domínio é um investimento que vale a pena e se não está vinculado a nenhuma campanha maliciosa.

Etapas na recuperação de dados do histórico do domínio

• Registre-se para obter uma conta na página inicial do Domain Research Suite. Cada nova conta vem com 500 créditos DRS gratuitos.
• Insira um nome de domínio no painel WHOIS History Search.
• A ferramenta exibe todos os registros históricos de WHOIS para ele, incluindo as datas de criação e expiração, proprietários e registradores atuais e anteriores, status, detalhes de contato e servidores de nome e WHOIS. Os resultados estão divididos em duas seções:
  • A primeira seção inclui uma contagem de quantos registros WHOIS o domínio tem, o número de alterações detectadas, registradores, registros com dados públicos de propriedade e o número total de dias em que o domínio esteve ativo.
  • A segunda seção inclui um detalhamento dos registros por data e expande os resultados para visualizar cada registro.
• Os usuários podem fazer o download dos resultados para seus computadores na forma de um arquivo PDF. Como alternativa, se preferirem uma ferramenta de linha de comando semelhante ao comando "whois" original para localizar os registros necessários, esse serviço também pode ser usado com nossa ferramenta de linha de comando "bestwhois" após a assinatura.

Você também pode gostar: Tutorial da ferramenta de pesquisa na Web Who is History

Demonstração de pesquisa de histórico do WHOIS para recuperar detalhes de registros não editados de um ataque IoC

Não é incomum que pesquisadores de segurança cibernética se deparem com domínios identificados como indicadores de comprometimento (IoCs) cujos registros WHOIS foram mascarados pelo GDPR. Se esse for o caso, eles podem seguir este guia passo a passo para prosseguir com sua investigação.

1. Acesse o site WHOIS History Search https://drs.whoisxmlapi.com/whois-history. Faça o login.

2. Digite o nome de domínio que deseja investigar no campo de entrada Search (Pesquisar) e clique em Search (Pesquisar). Para esta demonstração, usamos cabiria[.]biz - um IoC Lorec53 conhecido.

3. Role para baixo para ver quantos registros históricos de WHOIS o domínio tem. Quanto maior o número, mais chances você terá de descobrir quem pode ser o proprietário.

4. Abra o registro WHOIS atual do domínio. Nesse caso, esse registro seria o que está no topo, datado de 29 de março de 2023.

5. Role para baixo para ver se os detalhes do registrante do registro são públicos. Nesse caso, eles foram mascarados pelo GDPR.

6. Abra todos os registros históricos do WHOIS disponíveis até encontrar um cujos detalhes do registrante não tenham sido redigidos. Nesse caso, seria o registro datado de 12 de maio de 2018.

7. Ao rolar o registro para baixo, você verá o nome do proprietário do domínio, o endereço de e-mail, o número de telefone e outros detalhes. Nós os editamos aqui por motivos de privacidade. Se você for um pesquisador de segurança, poderá usar as informações para encontrar outros artefatos do Lorec53.

O GDPR, sem dúvida, afetou os usuários que precisam acessar os dados do WHOIS para fins de pesquisa. No entanto, apesar dos obstáculos, o WHOIS History Search permite que pesquisadores de segurança cibernética, domainers, profissionais de marketing e desenvolvedores de sites tenham acesso ao histórico do WHOIS de um domínio e, assim, em alguns casos, continuem com seus esforços. Devido à amplitude do seu banco de dados, o WHOIS History Search é capaz de adquirir registros WHOIS completos e precisos para qualquer domínio que tenha estado on-line antes da implementação do GDPR.