CapLoader 2.1.0 remonta handshakes TLS fragmentados para extrair fingerprints JA3/JA4 mesmo com ECH e criptografia pós-quântica
A nova versão do CapLoader, ferramenta de análise de tráfego PCAP do Netresec, passa a armazenar em cache e remontar handshakes TLS Client Hello fragmentados em múltiplos segmentos — cenário cada vez mais comum com Encrypted Client Hello (ECH) e troca de chaves pós-quântica —, o que evita perder a extração de fingerprints JA3/JA4 usados para identificar clientes maliciosos. A versão também adiciona correlação automática contra uma plataforma de threat intel e suporte a mais protocolos de encapsulamento de rede.
CapLoader é uma ferramenta do Netresec (mesmo fabricante do PolarProxy) voltada a triagem rápida de grandes volumes de PCAP em investigações de forense de rede — o tipo de ferramenta usada para, a partir de uma captura de tráfego bruto, identificar rapidamente sessões suspeitas antes de mergulhar caso a caso no Wireshark.
A mudança técnica central da versão 2.1.0 responde a um problema real do TLS moderno: o pacote inicial de um handshake TLS (o Client Hello, que carrega os fingerprints JA3/JA4 usados para identificar o software cliente por trás da conexão) costumava caber em um único segmento TCP, mas recursos recentes — como Encrypted Client Hello (ECH), que criptografa o próprio Client Hello, e algoritmos de troca de chaves pós-quântica, que são maiores — passaram a fragmentá-lo em vários segmentos. Sem remontagem, uma ferramenta de análise perde parte dos dados do handshake e, com isso, a capacidade de gerar o fingerprint corretamente.
O CapLoader 2.1.0 resolve isso fazendo cache de handshakes parciais e remontando-os antes da extração de JA3/JA4, o que mantém a técnica funcional mesmo em tráfego QUIC e TLS 1.3 fragmentado — sem essa remontagem, boa parte do tráfego moderno simplesmente ficaria invisível para fingerprinting, já que ECH em particular é desenhado propositalmente para dificultar inspeção de tráfego por terceiros, incluindo defensores.
A versão também passa a correlacionar automaticamente IPs, domínios e portas observados contra uma plataforma de threat intel (Rösti) e adiciona atalhos para consultas OSINT (BGP.Tools, IPinfo, Netify), além de suporte a mais protocolos de encapsulamento (Geneve, GRE sobre UDP, Wi-Fi encapsulado da Aruba) — relevante para quem investiga tráfego em ambientes de nuvem ou redes corporativas complexas onde o tráfego relevante frequentemente está encapsulado por baixo de outros protocolos.
Na prática, isso mantém o JA3/JA4 fingerprinting — técnica amplamente usada para identificar malware, C2 e scanners automatizados pela "assinatura" de como implementam TLS, independente de IP ou domínio — relevante à medida que o próprio protocolo TLS evolui para dificultar inspeção. Ferramentas de forense de rede que não acompanham essas mudanças protocolares perdem visibilidade silenciosamente, sem sinalizar erro, o que é particularmente perigoso em investigações onde a ausência de evidência é interpretada erroneamente como ausência de atividade maliciosa.