RB-ANALYSIS-001: URL-analyse

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	URL-analyse
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

URL's die uit de e-mail zijn geëxtraheerd
Bijlagen (indien aanwezig)
Tijdstip van de e-mail
Gegevens over interactie van de gebruiker (indien beschikbaar)
Toegang tot een sandbox:
- AnyRun / Hybrid Analysis / Joe Sandbox
Toegang tot tools voor URL-analyse:
- URLScan
- VirusTotal
Geïsoleerde VM om in de browser te testen (nooit direct browsen)
Threat intel-platforms
Proxylogs (optioneel)

2. Stap-voor-stap-instructies

Normaliseer en expandeer de URL's
- Extraheer alle URL's uit de e-mail
  - Gewone links
  - Verhulde links (HTML-gecodeerd, verkort)
- Expandeer URL-verkorters (bit.ly, tinyurl, enz.)
- Decodeer Base64- / URL-codering als die aanwezig is
Passieve reputatiecheck
- Controleer elke URL/elk domein:
  - VirusTotal
  - URLScan (eerdere scans)
  - Leeftijd van het domein (WHOIS)
- Let op indicatoren:
  - Pas geregistreerde domeinen
  - URL's met een lage reputatie of een markering
  - Domeinen die legitieme diensten nabootsen
Laat de URL ontploffen in een sandbox
- Open de URL in de sandboxomgeving
- Observeer:
  - de redirectketen
  - de uiteindelijke landingspagina
  - netwerkverzoeken
  - bestandsdownloads
  - uitvoering van scripts
Analyseer het redirectgedrag
- Volg:
  - Initiële URL → tussenliggende redirects → eindbestemming
- Indicatoren:
  - meerdere redirects (vooral via legitieme diensten)
  - redirect naar een pagina voor credential harvesting
  - redirects die afhangen van geo/IP
Stel credential harvesting vast
- Zoek naar:
  - Nep-inlogpagina's (O365, Google, Okta, enz.)
  - Formuliervelden die gebruikersnaam en wachtwoord opvangen
  - POST-requests naar domeinen van de aanvaller
- Vergelijk de HTML-structuur met de echte inlogpagina en controleer op een afwijkend domein
Analyseer bijlagen (indien aanwezig)
- Upload ze naar de sandbox
  - Bepaal de hash van het bestand (MD5/SHA256)
  - Analyseer het gedrag: procesuitvoering, netwerkverzoeken, persistence
- Indicatoren:
  - Uitvoering van macro's (Office-documenten)
  - Droppers / loaders
  - Verdachte child processes
Controleer op aflevering van een payload
- Stel vast of de URL
  - Direct een bestand downloadt
  - Een drive-by download veroorzaakt
  - Een tweede payload neerzet
Correleer met interne logs (optioneel)
- Proxylogs:
  - Hebben gebruikers de uiteindelijke URL bezocht?
- EDR
  - Is er bestandsuitvoering die aan de URL is te koppelen?

3. Na afloop

Documenteer de bevindingen in het incidentticket

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.