Autópsia Digital reúne análises, técnicas e estudos de caso sobre perícia computacional: aquisição e cadeia de custódia, análise de artefatos, memória e malware, e resposta a incidentes. Em português, verificado contra as fontes primárias.
O ISC SANS documentou uma infecção real do trojan bancário Guildma (também rastreado como Astaroth) iniciada por e-mail de phishing em português, disfarçado de contrato digital e com geofencing para só entregar a carga a sistemas configurados no Brasil. A cadeia de infecção usa atalho LNK, Alternate Data Streams para ocultar uma DLL e um script AutoIt compilado para persistência, comunicando-se com C2 hospedado em infraestrutura legítima como Azure Web Apps.
Pesquisadores apresentaram um método de detecção de áudio sintético (deepfake) baseado em coerência temporal: em vez de treinar uma rede profunda de ponta a ponta, eles extraem embeddings de áudio com CLAP, medem a similaridade de cosseno entre segmentos consecutivos e treinam um classificador ensemble leve sobre as estatísticas dessa distribuição. O trabalho cobre fala, música instrumental e música com vocais, mas o achado mais relevante é negativo: 21 das 29 features estatísticas usadas invertem a direção discriminativa entre o treino e o uso em campo, e a entropia chega a discriminar em sentidos opostos para fala e para música.
A Atola Technology apresentou o Atola Boot Image, um ambiente forense inicializável (bootável) voltado a cenários em que retirar o disco do computador da cena é arriscado, demorado ou fisicamente inviável. A proposta é permitir que o perito colete uma imagem forense do disco interno mantendo-o instalado na própria máquina, reduzindo o risco de dano ao hardware e o tempo de resposta em campo.
Um novo benchmark, o SCRIPTIOC-BENCH, reúne 634 amostras reais e verificadas manualmente de malware em JavaScript, PowerShell e VBScript para medir a capacidade de LLMs de extrair estaticamente indicadores de comprometimento — URLs, domínios, IPs e artefatos de sistema de arquivos — sem executar o código. O modelo mais forte avaliado atingiu apenas 65,4 de F1, o que mostra que a extração automatizada de IOCs continua não confiável quando os indicadores estão ofuscados ou exigem decodificação, mesmo usando os modelos mais capazes disponíveis.
Um artigo no arXiv descreve um método em nível de aplicativo, usando o framework Core NFC do iOS, para ler cartões de pagamento contactless dos sistemas nacionais HUMO e UZCARD (Uzbequistão) e PRO100 (Rússia/Cazaquistão), extraindo número da conta primária (PAN) e data de validade sem emular o cartão ou autorizar qualquer transação. Os autores mapeiam os AIDs EMV compatíveis com cada rede e implementam um parser híbrido que prioriza campos BER-TLV padrão, recorrendo a offsets fixos legados apenas quando a resposta do cartão não segue a estrutura esperada. O trabalho nasce de uma lacuna real: esses mercados não têm suporte Apple Pay, então a população segue dependente do cartão físico, que se mostra igualmente exposto.
Pesquisadores publicaram na Forensic Science International: Digital Investigation (vol. 59) um estudo com casos reais de extração de artefatos forenses em impressoras 3D Creality baseadas em Linux, rodando o firmware open-source Klipper. O trabalho endereça uma lacuna pouco explorada na perícia: dispositivos de manufatura aditiva que combinam microcontrolador e uma placa companheira Linux completa.
Pesquisadores descrevem um sistema em produção que pontua 835 milhões de endereços em cinco blockchains EVM pela posição estrutural no grafo de transações, em vez de depender apenas de listas de sanções e heurísticas de clustering. Em testes retrospectivos contra 68 eventos reais de designação por órgãos reguladores, o modelo sinalizou 58,8% dos casos dentro de um orçamento de alerta de 0,1%, com mediana de antecedência de 528 dias (Ethereum) e 648 dias (Tron) antes da designação oficial.
Um paper de posicionamento e arquitetura propõe um modelo neutro de fornecedor para registrar, com ancoragem criptográfica em blockchain, comunicações entre agentes de IA, chamadas de ferramentas, aprovações humanas e artefatos de processo, sem colocar conteúdo sensível on-chain. A motivação declarada é um incidente de 2026 envolvendo OpenAI e Hugging Face, e o objetivo é dar suporte a reconstrução de incidentes, auditorias de GRC e conformidade com EU AI Act, NIS2 e o Cyber Resilience Act.
Pesquisadores apresentam o ICFlowNet, um framework de aprendizado em grafos que recupera arestas de fluxo de controle indireto (chamadas indiretas, tail calls, jump tables e returns) em binários x86-64 sem símbolos de depuração. O trabalho também propõe um protocolo de avaliação mais rigoroso, com deduplicação em nível de função e separação por pacote, para evitar vazamento de dados entre treino e teste, um problema comum na literatura anterior.
Um preprint no arXiv propõe um framework de forense de proveniência para mídia sintética que verifica se uma imagem veio de um gerador específico por meio de um par encoder-decoder que reconstrói a entrada e compara a consistência do resultado, sem exigir marca d'água nem alterar o modelo gerador. A abordagem é apresentada como caminho para evidência interpretável de origem em cenários de plataformas de IA como serviço, mas ainda é um trabalho de pesquisa validado nas condições dos próprios autores.
A compilação semanal do Forensic Focus reúne o que a comunidade de forense digital publicou nos últimos dias: frameworks de IA aplicados a DFIR, ferramentas surgidas em hackathons, artefatos de desbloqueio no macOS, técnicas de correlação de logs entre plataformas e extração forense de dados do Apple Health. É uma curadoria, não um artigo técnico único, mas mapeia bem as frentes ativas de pesquisa e prática forense nesta semana.
Um artigo publicado na Forensic Science International: Digital Investigation (v.58) apresenta seis métodos inéditos de ocultação de dados dentro da estrutura interna do Btrfs, incluindo abuso de STRING_ITEMs, e avalia cada um por capacidade, estabilidade e dificuldade de detecção. Os autores, Fergus Toolan e Georgina Humphries, apontam que as ferramentas forenses atuais têm suporte limitado ao Btrfs, o que amplia a janela de uso dessas técnicas como anti-forense em investigações reais.
A Belkasoft anunciou em prévia o recurso BelkaGPT na versão 2.12 do Belkasoft X, capaz de traduzir chats, SMS e textos extraídos de artefatos em mais de 100 idiomas, rodando inteiramente na máquina do perito. A proposta é eliminar a necessidade de enviar evidência digital a serviços de tradução em nuvem durante a análise.
Pesquisadores (Juan Hu, Shaojing Fan, Sanjay Saha, Marc Herrera e Terence Sim) publicaram no arXiv o TaintedPixels, um método de proteção proativa de vídeos faciais que injeta uma marca d'água quase imperceptível no canal azul da imagem. A marca permanece discreta no vídeo original, mas se torna visivelmente perceptível assim que o vídeo passa por uma ferramenta de manipulação facial do tipo caixa-preta, facilitando a identificação humana e automatizada da falsificação. Em teste com 300 vídeos e usuários não especialistas, a taxa de identificação de deepfakes saltou de 56,71% (fonte sem proteção) para 90,72% (fonte protegida).
Artigo aceito na Forensic Science International: Digital Investigation (volume 58, setembro de 2026), assinado por Mahdi Daghmehchi Firoozjaei, MinChang Kim, Hyoungshick Kim, Arash Habibi Lashkari e Ali A. Ghorbani, propõe métodos de extração de características e perfilamento comportamental sobre dados de blockchain para apoiar a análise de transações ilícitas. Os autores fazem parte de grupos de pesquisa reconhecidos em forense digital e análise de tráfego (entre eles o Canadian Institute for Cybersecurity), o que dá peso metodológico ao trabalho. O texto completo está atrás de paywall na ScienceDirect, então a leitura abaixo é contextual, baseada no título, autoria e periódico.
Um pesquisador do SANS Internet Storm Center processou 1,3 TB de amostras de malware do MalwareBazaar, cobrindo fevereiro de 2020 a julho de 2026, para identificar qual toolchain de compilação gerou cada binário PE malicioso. O script, construído sobre a biblioteca pefile, combina leitura do Rich Header, do cabeçalho CLR (.NET) e heurísticas de string para atribuir compilador/linker às amostras. O resultado mostra predominância de binários 32-bit, forte presença do MSVC entre as amostras identificáveis e uma fatia relevante de amostras sem toolchain identificável, provavelmente por empacotamento ou remoção de metadados.
A edição semanal de curadoria de notícias forenses da Forensic Focus agrupa cinco frentes que vêm ganhando espaço na prática pericial: vestígios deixados por uso de ferramentas da OpenAI, o recurso Screen Time da Apple como fonte de evidência de uso de aplicativos, técnicas de geolocalização extraídas de memória volátil, uso de IA para acelerar investigações e os gargalos de imagem forense em laboratórios com grande volume de casos. Não foi possível acessar o texto integral de cada matéria referenciada no momento desta análise, então o resumo abaixo trata do significado de cada tema para a prática de DFIR, sem reproduzir achados específicos do post original.
Pesquisadores apresentam o EGAMA-RC, um framework de triagem de malware para forense de memória que vai além da acurácia bruta de classificação, incorporando calibração de risco, detecção de novidade e roteamento de casos incertos para revisão humana. Em três datasets de malware, o sistema aceitou automaticamente 93,12% das amostras com 99,86% de acurácia nos casos aceitos e taxa de falso-positivo de 0,136%, com inferência rápida via XGBoost (latência sub-milissegundo).
Um novo benchmark reprodutível avalia se agentes baseados em LLM conseguem inferir corretamente relacionamentos entre tabelas em bancos SQLite forenses sem documentação, tratando separadamente o sucesso de execução de uma consulta e a correção estrutural da inferência relacional. Usando o banco de SMS do Android e o banco do Snapchat como casos de teste, o estudo mostra que os agentes funcionam bem em esquemas regulares, mas produzem joins plausíveis e executáveis, porém estruturalmente incorretos, à medida que a irregularidade do esquema aumenta.
Pesquisadores propõem um agente que trata a localização de dados pessoais (PII) em bancos SQLite de aplicativos móveis como um problema de busca adaptativa sob incerteza, em vez de varredura exaustiva de todas as tabelas e colunas. Testado no corpus CTF da Cellebrite, com 25 bancos de 10 apps Android e iOS, o método reduziu o espaço de busca em quase 80% mantendo F1 de 94,5% com o Gemini 2.5 Pro, mas mostrou variação relevante entre os 12 modelos avaliados.
O DFIR Report detalha a BengalSEO, uma operação criminosa baseada em Rajasthan (Índia) e ativa desde 2015, que combina black hat SEO em larga escala com um sistema de distribuição de tráfego para posicionar páginas maliciosas no topo de buscas por softwares populares. As vítimas são levadas a páginas de isca hospedadas em plataformas legítimas (github.io, pages.dev, readthedocs.io) e, após triagem por CAPTCHA e fingerprinting, recebem o dropper JavaScript MayaBot ou são direcionadas a golpes de suporte técnico por telefone. O relatório é a parte 1 de uma série e traz reconstrução completa da infraestrutura, TTPs mapeados no MITRE ATT&CK e um extenso conjunto de IOCs.
O pesquisador Didier Stevens (ISC/SANS) analisou uma variante do loader DOUBLECUP que anexa um script PowerShell em texto puro logo após um arquivo PNG válido, sem embuti-lo em pixels ou metadados. A extração usa um truque simples: um marcador de quebra de linha (CR+LF) seguido de FINDSTR para localizar e redirecionar o script ao interpretador, dispensando qualquer parser customizado.
Pesquisadores lançam o Scalpel3, um framework open source de carving de dados projetado para recuperação de arquivos tanto contíguos quanto fragmentados em larga escala, algo que ferramentas clássicas como Foremost, Scalpel v1/2 e PhotoRec não oferecem de forma genérica. A arquitetura abstrai paralelização e I/O, permitindo que novos tipos de arquivo sejam suportados apenas com lógica de validação, e integra classificadores ONNX para apoiar a reconstrução de blocos.
Pesquisadores publicam na Forensic Science International: Digital Investigation um método que usa impressões digitais de sensor extraídas no domínio wavelet para aprimorar a identificação da câmera que capturou uma imagem. A técnica se insere na linha de forense de imagem baseada em ruído de padrão de sensor (PRNU), área central para autenticação de mídia digital em investigações.
Pesquisadores propõem um framework de aquisição forense para ferramentas de colaboração em nuvem baseado em chamadas de API, usando o Slack como estudo de caso. O trabalho, publicado na Forensic Science International: Digital Investigation, ataca um problema crescente: como coletar evidências de plataformas SaaS de mensageria corporativa de forma forense quando não há acesso ao servidor nem à infraestrutura subjacente.
2 min
0
Receba o boletim da Autópsia Digital
Um resumo com novas técnicas de perícia, ferramentas e estudos de caso relevantes — direto no seu e-mail, sem ruído.
frequência quinzenal · cancele quando quiser
sobre
Por que a Autópsia Digital existe
A perícia computacional decide investigações, litígios e respostas a incidentes — mas boa parte do material técnico de qualidade está em inglês, disperso e desatualizado.
A Autópsia Digital nasce para fechar essa lacuna no Brasil: conteúdo em português, verificado contra as fontes primárias, escrito por quem examina evidência digital no dia a dia.
fonte primáriaToda análise cita a documentação, o artefato ou o paper original — nada de telefone sem fio.
reprodutívelTécnicas demonstradas em laboratório, com passos e ferramentas que você pode validar.
cadeia de custódiaMétodo que preserva a integridade da prova, do primeiro hash ao laudo — do jeito que o tribunal exige.