whois consulta os dados de registro por trás de um
domínio ou bloco de IP: registrar, titular (quando não redigido), name servers, datas de criação/expiração, dono do ASN e contato de abuse.
Em threat-intel é OSINT de base:
- Domínio recém-registrado é forte indicador de phishing.
- Mesmo titular/e-mail em vários domínios expoz clusters de infraestrutura do atacante.
- O contato abuse do netblock é quem você aciona para derrubar um IP malicioso.
O WHOIS moderno está sendo substituído pelo RDAP (CLI rdap), que retorna JSON estruturado.