Cómo recuperar datos WHOIS históricos de un dominio tras su eliminación
La información WHOIS es indispensable para cualquier investigador de ciberseguridad. Es un recurso esencial para localizar a los propietarios de registros por una serie de razones que van desde la resolución de disputas sobre marcas y ciberocupación hasta la configuración de sitios web. Con los registros WHOIS, un analista de seguridad o el administrador de un sitio web pueden ponerse rápidamente en contacto con el propietario de un registro para resolver o presentar una disputa, transferir un dominio con facilidad o configurar un certificado SSL (Secure Sockets Layer) válido.
Sin embargo, con la implementación del Reglamento General de Protección de Datos (GDPR), la Corporación de Internet para la Asignación de Nombres y Números (ICANN) se vio obligada a modificar sus políticas de disponibilidad de datos WHOIS. La implementación por parte de la ICANN de la Especificación Temporal para Datos de Registro de Dominios Genéricos de Alto Nivel (gTLD) en 2018 tuvo como consecuencia la eliminación del dominio público de millones de registros WHOIS.
Según la nueva norma, tanto los registradores como los registros deben indicar explícitamente que los datos de titularidad de un dominio han sido "Eliminados por motivos de privacidad", a menos, por supuesto, que el titular del dominio consienta compartir públicamente su información de registrante. Esta política se aplica a todos los datos accesibles a través de los protocolos WHOIS o el Protocolo de Acceso a Datos de Registro (RDAP).
Las búsquedas WHOIS se han complicado desde entonces. Lo que antes era una actividad que llevaba un par de minutos, ahora implica horas de búsqueda en Internet y saltar de una aplicación o base de datos a otra. Afortunadamente, existen otras formas, que se enumeran a continuación, a través de las cuales los analistas pueden obtener estos datos críticos de los dominios, como una herramienta WHOIS history search.
¿Cuáles son las alternativas?
Sin embargo, la GDPR no significa necesariamente el fin de la información WHOIS disponible públicamente. La especificación temporal aún permite a los usuarios obtener datos WHOIS de los operadores de registro por razones legítimas mediante la presentación de una solicitud. Las partes solicitantes deben ser capaces de demostrar que el dominio ha estado involucrado en ciberocupación, fraude y otras actividades ilegales. Aunque el proceso de solicitud conlleva su propio conjunto de retos (es decir, la falta de estandarización para los pasos de presentación), no hay razón para que los investigadores de seguridad no lo lleven a cabo.
Para solicitudes urgentes, como en el caso de una investigación penal, los usuarios pueden solicitar una citación. Las citaciones pueden costar más a los usuarios y pueden llevar más tiempo, pero es la vía más rápida para las partes solicitantes que se encuentren en un callejón sin salida con sus plataformas WHOIS o que no hayan recibido ninguna respuesta de los registradores. En ocasiones, algunos registradores no responden a estas solicitudes por temor a infringir la GDPR.
Otro medio para que los investigadores en ciberseguridad obtengan el registro de un dominio es solicitándolo a los contactos para reportar abusos. Los registradores tuvieron que poner un correo electrónico con esta finalidad para un dominio que cumpla con la GDPR.
Cómo puede ayudar WHOIS History Search
Los investigadores de dominios pueden confiar en WHOIS History Search cuando se encuentren con detalles WHOIS protegidos por privacidad, especialmente en el caso de dominios infractores. Al recuperar los detalles del último registrante conocido de un dominio, es posible obtener más información sobre el uso y las afiliaciones pasadas de un dominio.
WHOIS History Search forma parte de nuestra suite de nueve herramientas en una enfocadas en la monitorización y búsqueda de dominios, Domain Research Suite (DRS). Permite a los usuarios encontrar los registros históricos de un dominio. Estos se segregan por fecha en la que el dominio recibió actualizaciones y se extraen de una completa base de datos que abarca más de 15.600 millones de dominios que nuestra empresa ha rastreado durante más de diez años. Esto explica por qué la herramienta arroja resultados precisos y completos para los dominios.
A continuación se exponen algunos casos de uso común de la herramienta.
- Lucha contra el fraude: WHOIS History Search puede utilizarse para recopilar pruebas sobre dominios fraudulentos o infractores para disputas sobre marcas, demandas e investigaciones cibernéticas.
- Seguimiento de atacantes: La herramienta puede encontrar asociaciones entre dominios sospechosos y redes conocidas de ciberdelincuentes.
- Inversión en dominios: Los inversores en dominios pueden utilizarlo para determinar si un dominio es una inversión digna y si no tiene vínculos con ninguna campaña maliciosa.
Pasos para obtener datos históricos de dominio
- Regístrese para obtener una cuenta en la página de inicio de Domain Research Suite. Cada nueva cuenta incluye 500 créditos DRS gratuitos.
- Introduzca un nombre de dominio en el panel de búsqueda del historial WHOIS.
- La herramienta muestra todos los registros WHOIS históricos del mismo, incluidas sus fechas de creación y caducidad, propietarios y registradores actuales y anteriores, estado, datos de contacto y nombre y servidores WHOIS. Los resultados se dividen en dos secciones:
- La primera sección incluye un recuento de cuántos registros WHOIS tiene el dominio, el número de cambios detectados, los registradores, los registros con datos de titularidad pública y el número total de días que el dominio ha estado activo.
- La segunda sección incluye un desglose de los registros por fecha y amplía los resultados para ver cada registro.
- Los usuarios pueden descargar los resultados en sus ordenadores en formato PDF. Si prefieren una herramienta de línea de comandos similar al comando "whois" original para encontrar los registros necesarios, este servicio también puede utilizarse con nuestra herramienta "bestwhois" tras la suscripción.
También le puede gustar: Tutorial de la herramienta web WHOIS History Search
Demostración de WHOIS History Search para recuperar detalles de registros no eliminades de un ataque IoC
No es raro que los investigadores en ciberseguridad tropiecen con dominios identificados como indicadores de compromiso (IoC) cuyos registros WHOIS han sido enmascarados debido a la GDPR. Si ese es el caso, pueden seguir esta guía paso a paso para continuar con su investigación.
1. Vaya al sitio web de WHOIS History Search https://drs.whoisxmlapi.com/whois-history. 2. Inicie sesión.
2. Escriba el nombre del dominio que desea investigar en el campo Buscar y, a continuación, haga clic en Buscar. Para esta demostración, hemos utilizado cabiria[.]biz-un conocido IoC de Lorec53.
3. Desplácese hacia abajo para ver cuántos registros WHOIS históricos tiene el dominio. Cuanto mayor sea el número, más posibilidades tendrá de averiguar quién puede ser su propietario.
4. Abra el registro WHOIS actual del dominio. En este caso, sería el que aparece en la parte superior con fecha 29 de marzo de 2023.
5. Desplácese hacia abajo para ver si los datos del registrante del registro son públicos. En este caso, han sido enmascarados usando la GDPR.
6. Abra todos los registros WHOIS históricos disponibles hasta que vea uno cuyos detalles del registrante no hayan sido eliminados. En este caso, es el que tiene fecha de 12 de mayo de 2018.
7. Si se desplaza hacia abajo por el registro, obtendrá el nombre del propietario del dominio, su dirección de correo electrónico, su número de teléfono y otros datos. No los hemos reflejado aquí por custiones de privacidad. Si usted trabaja en investigaciones sobre seguridad, puede utilizar la información para encontrar otros artefactos Lorec53.
Sin duda, la GDPR ha afectado a los usuarios que necesitan acceder a datos WHOIS con fines de investigación. A pesar de los obstáculos, sin embargo, WHOIS History Search permite a los investigadores en ciberseguridad, domainers, profesionales del marketing y desarrolladores de sitios web hacerse con el historial WHOIS de un dominio y, así, seguir adelante con sus esfuerzos en algunos casos. Debido a la amplitud de su base de datos, WHOIS History Search es capaz de adquirir registros WHOIS completos y precisos para cualquier dominio que haya estado en línea antes de la implementación de la GDPR.
