PolarProxy 2.0: proxy de inspeção TLS para respondedores de incidentes ganha binário único e suporte ARM64
A Netresec lançou a versão 2.0 do PolarProxy, proxy transparente de inspeção TLS/SSL voltado a analistas de malware e respondedores de incidentes, que decriptografa e recriptografa tráfego para gerar PCAPs em texto claro analisáveis em Wireshark ou IDS. A nova versão migra para .NET 10, passa a ser distribuída como binário único autocontido, ganha suporte a Linux musl/ARM64 e adiciona opções como --cutoff para limitar o tamanho de PCAP por fluxo.
O PolarProxy resolve um problema comum em análise de tráfego durante resposta a incidentes: boa parte da comunicação de malware moderno (C2, exfiltração, downloads de payload) é feita sobre TLS, o que torna a captura de pacotes bruta pouco útil sem decriptografia. A ferramenta atua como um proxy transparente que intercepta a conexão, decriptografa o conteúdo e o regrava como um PCAP em texto claro, permitindo abrir a sessão diretamente no Wireshark ou alimentar um IDS com o tráfego decodificado.
A versão 2.0 é primariamente uma atualização de engenharia e distribuição: passa a rodar sobre .NET 10 (trazendo ganhos de desempenho e segurança da runtime), é empacotada como um único binário autocontido — o que simplifica a implantação em ambientes de laboratório forense sem depender de instalação de runtime separada — e ganha suporte a Linux musl (Alpine) em ARM64, ampliando o leque de dispositivos e containers onde a ferramenta pode rodar. Novas opções de linha de comando, como --tlstimeout para lidar com conexões lentas e --cutoff para truncar a captura por fluxo, atacam problemas operacionais reais de quem roda a ferramenta em produção: conexões penduradas e discos que enchem com downloads grandes.
Na prática, esse tipo de atualização importa menos pelo que muda em termos de técnica de interceptação (que permanece a mesma) e mais pela redução de atrito operacional para equipes de IR e de análise de malware que já usam o PolarProxy como peça de infraestrutura de laboratório — menos dependências para gerenciar, mais plataformas suportadas (incluindo dispositivos ARM de baixo custo) e melhor controle sobre o volume de dados gerados durante capturas prolongadas.