Cómo investigar un dominio o enlace sospechoso sin abrirlo: RDAP, crt.sh y análisis pasivo

Uno de los errores más frecuentes al evaluar un mensaje sospechoso por correo, SMS o mensajería instantánea es asumir que el ícono del candado en la barra del navegador equivale a legitimidad. En realidad, el protocolo HTTPS (TLS, IETF RFC 8446) únicamente garantiza que el tránsito de datos entre el navegador y el servidor viaja cifrado y que el servidor demostró control sobre ese nombre de dominio al momento de emitir el certificado. No avala la identidad comercial ni las intenciones de quien opera el sitio.

En esta guía práctica de nuestra serie Knowledge is free explicamos cómo cualquier persona o analista puede investigar un dominio desde afuera mediante fuentes abiertas (OSINT), sin abrir la página en su navegador ni enviar paquetes directos al servidor sospechoso.

1. Verificar la antigüedad real del dominio mediante RDAP

El primer indicador para distinguir una plataforma legítima de una infraestructura desechable de phishing es la fecha de creación del dominio. El protocolo RDAP (Registration Data Access Protocol, IETF RFC 7480 / RFC 9083) permite consultar directamente al registro oficial del dominio de nivel superior (como Verisign para .com) y recibir una respuesta estructurada en formato JSON.

Por ejemplo, al ejecutar una consulta real sobre el dominio oficial de ViciousByte sin visitar la página web:

curl -s https://rdap.verisign.com/com/v1/domain/viciousbyte.com

El registro devuelve los eventos verificables del dominio:

• Nombre de dominio (ldhName): VICIOUSBYTE.COM
• Fecha de registro (registration): 2023-06-25T18:18:30Z
• Fecha de expiración (expiration): 2027-06-25T18:18:30Z
• Estado de seguridad (status): client transfer prohibited

Si recibes un supuesto aviso urgente de una institución financiera o empresa de logística y la consulta RDAP revela que el dominio fue creado hace 24 o 72 horas, estás frente a una infraestructura montada específicamente para una campaña de engaño.

2. Auditar la emisión de certificados en Certificate Transparency (crt.sh)

El segundo paso consiste en revisar los registros públicos de Transparencia de Certificados (Certificate Transparency, IETF RFC 9162). Cada vez que una autoridad certificadora (como Let's Encrypt, DigiCert o Sectigo) emite un certificado TLS para un dominio o subdominio, el certificado queda asentado en bitácoras públicas inmutables que cualquiera puede consultar gratis en https://crt.sh.

De forma complementaria, un analista puede inspeccionar el certificado vigente mediante openssl o bibliotecas estándar:

openssl s_client -connect viciousbyte.com:443 -servername viciousbyte.com

Esta inspección muestra la autoridad emisora (por ejemplo, Let's Encrypt), el protocolo negociado (TLSv1.3 con TLS_AES_256_GCM_SHA384), la ventana exacta de validez y los nombres alternativos del sujeto (SAN). En investigaciones de seguridad, consultar los registros de transparencia permite descubrir subdominios ocultos creados por atacantes (como paneles de acceso falsos) incluso antes de que se distribuyan masivamente.

3. Lectura del dominio raíz y análisis en un sandbox aislado

Muchos ataques apelan al cansancio visual en pantallas móviles mediante tres técnicas clásicas:

• Typosquatting y homógrafos: sustituir una letra por un carácter casi idéntico (como cambiar una l minúscula por un 1) o emplear alfabetos distintos mediante Punycode (xn--).
• Dominios compuestos con palabras de urgencia: registrar nombres como marca-verificacion.com o soporte-seguridad.net.
• Subdominios engañosos: colocar el nombre legítimo al principio de la dirección (por ejemplo, tu-banco.com.acceso-seguro.xyz/login), donde el verdadero dominio raíz es únicamente lo que antecede a la primera diagonal simple: acceso-seguro.xyz.

Si después de revisar el registro RDAP y los certificados necesitas observar qué contenido sirve el enlace, nunca lo abras desde tu dispositivo personal ni desde la red de tu oficina: al hacerlo expones tu dirección IP, tu navegador y el identificador de tu enlace de rastreo. En su lugar, utiliza analizadores pasivos en entornos aislados (sandboxes) como urlscan.io, que abren el sitio desde una infraestructura externa, capturan la pantalla y registran todas las peticiones HTTP y dominios secundarios contactados.

4. Evasión avanzada y por qué las organizaciones requieren ciberinteligencia

Aplicar estas tres verificaciones protege de inmediato frente a la gran mayoría de los fraudes masivos. Sin embargo, las operaciones criminales dirigidas implementan mecanismos de evasión (cloaking) cada vez más sofisticados:

• Filtran el tráfico por dirección IP y sistema autónomo (ASN), mostrando una página en blanco o un blog inofensivo si detectan que la visita proviene de un centro de datos o de un escáner conocido.
• Verifican las cabeceras y huellas del navegador (User-Agent, resolución táctil y WebGL) para desplegar el formulario falso únicamente cuando la víctima accede desde un teléfono móvil residencial dentro del país objetivo.
• Automatizan la rotación de dominios y proxys inversos (como kits Evilginx de captura de sesión en tiempo real) que interceptan incluso códigos de segundo factor (2FA) basados en SMS o aplicaciones TOTP.

En ViciousByte ayudamos a empresas y equipos técnicos a pasar de la revisión manual a la defensa proactiva: monitoreo automatizado de registros de transparencia de certificados para detectar dominios suplantadores, pruebas de ingeniería social controlada y arquitectura de autenticación resistente a phishing.