malware-intel
ThreatFox (abuse.ch)
Une plateforme ouverte de partage d'indicateurs de compromission proposée par abuse.ch, qui répertorie des millions d'adresses IP, de domaines, d'empreintes et d'URL liés à des logiciels malveillants nommément identifiés. Elle s'interroge via son API avec l'Auth-Key abuse.ch gratuite. Utile pour replacer un artefact dans son contexte : recherchez une empreinte ou un domaine et découvrez à quelle famille ou à quelle campagne de logiciels malveillants il a été associé.
Son utilité et son fonctionnement
ThreatFox est le volet « partage d'indicateurs de compromission (IOC) » de l'écosystème abuse.ch. Là où MalwareBazaar héberge des échantillons et URLhaus des liens de distribution, ThreatFox apporte du contexte : il relie des adresses IP, des domaines, des empreintes et des URL à des familles et des campagnes de logiciels malveillants nommément identifiées, ce qui permet de replacer un artefact dans un tableau de menace plus large. La même Auth-Key abuse.ch gratuite que pour MalwareBazaar et URLhaus fonctionne ici, et vous pouvez rechercher par empreinte, adresse IP, domaine ou URL via l'API.
Ce qu’elle contient
ThreatFox a accumulé des millions d'entrées d'IOC provenant de contributeurs de la communauté depuis son lancement en mars 2021. Depuis 2025, les IOC de plus de six mois sont retirés du flux d'API en direct mais restent consultables via le site web : l'archive parcourable est donc plus vaste que l'export en temps réel.
Accès API
POST https://threatfox-api.abuse.ch/api/v1/ (query=search_ioc/search_hash); header Auth-Key
Une clé API est requise (généralement gratuite) ; consultez les points d’accès ci-dessus pour savoir où l’obtenir.
Ce que nous avons mesuré
Nos propres sondes, pas les promesses de l’archive. Relancées régulièrement ; chaque valeur est datée.
Accessibilité
- Requête directe
- A répondu HTTP 200 255 ms
- Via un proxy de centre de données
- A répondu HTTP 200 851 ms
- API, en direct
- Bloqué HTTP 401 105 ms
- API, via un proxy
- Bloqué HTTP 401 748 ms
Accessibilité mesurée le 2026-08-22.
Accès
Accès programmatique via une API (une clé peut être requise, voir l’étiquette API).