O artigo 'Federated Forensics' propoe uma arquitetura de tres camadas que permite a agencias de investigacao de diferentes paises treinarem modelos analiticos em conjunto sem centralizar dados, respeitando regras de jurisdicao e governanca. A camada intermediaria atua como uma fronteira que bloqueia atualizacoes de modelo de cruzarem limites nao autorizados, mesmo usando-as localmente.
Fonte ↗Pesquisadores apresentaram o AutoPYara, pacote Python open-source que melhora a geracao automatica de regras YARA a partir de clusters de amostras de malware. A ferramenta usa selecao de centroide por hashing de similaridade e uma heuristica de subclusters baseada em dados historicos do VirusTotal para lidar com a diversidade intra-familiar que degradava a qualidade das regras no AutoYara, estado da arte anterior.
Fonte ↗Artigo publicado na revista Forensic Science International: Digital Investigation propõe uma metodologia para avaliar a integridade forense de logs de voo gerados por controladores que rodam o firmware PX4, amplamente usado em drones comerciais e de código aberto. A abordagem combina verificações de consistência interna dos próprios registros com experimentos de manipulação controlada, simulando adulteração para medir se os indicadores de integridade conseguem detectá-la.
Fonte ↗Um novo framework chamado MEvince usa LLMs amarrados a uma representação comportamental estruturada para identificar técnicas MITRE ATT&CK em relatórios de análise de malware, em vez de deixar o modelo associar livremente texto a técnicas por plausibilidade. Avaliado contra 11 baselines em 610 relatórios públicos referenciados pelo próprio MITRE ATT&CK, o método melhorou o F1 de identificação exata em 17,4% sobre a melhor baseline. O diferencial central é rastrear cada atribuição de técnica até o trecho exato do relatório que a sustenta, o que importa diretamente para defensabilidade de conclusões em investigações.
Fonte ↗Pesquisadores apresentam uma metodologia automatizada para reconstruir, a partir de capturas PCAP, a execução de protocolos de rede sob o modelo de intruso passivo Dolev-Yao. O framework extrai objetos serializados em Java, remonta sessões concorrentes e valida as reconstruções contra uma especificação formal do protocolo (AnBx), atingindo mais de 94% de sucesso em capturas de sessão única e cerca de 89% em cenários com sessões paralelas.
Fonte ↗Pesquisadores apresentam o MODEXRE, um pipeline que transforma um classificador XGBoost com explicabilidade SHAP em uma ferramenta forense de verdade: ele separa um modo 'Laboratório' (treino e certificação em dados sintéticos) de um modo 'Formal' (inferência sobre evidência real de caso, com modelo congelado e hash-verificado). O artigo documenta quatro falhas reais encontradas durante o desenvolvimento — incluindo vazamento de timestamp e um classificador binário certificado por engano quando deveria ser multiclasse — e como a correção delas mudou drasticamente os resultados em uma captura de pacotes real.
Fonte ↗