Round-up DFIR: forense de memoria para malware em Go, artefatos de notificacao no iOS, assistentes de IA no navegador e anti-forense em botnet Mirai
A edicao semanal do Forensic Focus reune avancos tecnicos relevantes para peritos: um framework premiado no DFRWS USA 2026 para forense de memoria de malware escrito em Go, novos parsers para bancos de notificacao e Biome streams do iOS, rastros forenses deixados por assistentes de IA integrados a navegadores, e uma tecnica de anti-forense usada pela variante de botnet Mirai batizada Tengu. O conjunto ilustra bem a velocidade com que novos artefatos e tecnicas de evasao surgem no dia a dia da pericia digital.
O destaque tecnico do round-up e o framework vencedor de Best Paper no DFRWS USA 2026, desenvolvido por Hala Ali (VCU) em colaboracao com Andrew Case, um dos principais desenvolvedores do Volatility. A ferramenta recupera artefatos de execucao em tempo real de malware escrito em Go -- linguagem cada vez mais usada em ransomware, backdoors, RATs e ferramentas de exfiltracao justamente por gerar binarios estaticos dificeis de analisar com tecnicas tradicionais de engenharia reversa. O framework consegue extrair da memoria credenciais, material de criptografia, informacoes de C2 e o estado de execucao ativo do processo, o que representa um avanco relevante porque o runtime do Go (goroutines, garbage collector proprio) historicamente dificulta a aplicacao direta de tecnicas classicas de forense de memoria pensadas para binarios em C.
No lado mobile, dois novos artefatos do iOS ganham parsers publicos. O banco notificationAndSuggestionDB.db, parte do framework DuetExpertCenter da Apple, armazena mais de 60 dias de metadados de notificacao (BundleID, timestamps, identificadores de thread e numeros de telefone) de apps como WhatsApp, Signal e SMS -- sem o conteudo da mensagem, mas com valor probatorio para reconstrucao de timeline de comunicacao. Um parser foi incorporado ao iLEAPP. Paralelamente, a ferramenta SEGB Hunter, de Kevin Pagano, decodifica os Biome streams que substituiram as antigas entradas do KnowledgeC, extraindo categorias de stream, contagem de registros e status de tombstone para CSV ou SQLite -- essencial porque o Biome e hoje a principal fonte de eventos de uso no iOS moderno.
Outro ponto de atencao e o rastro forense deixado por assistentes de IA integrados a navegadores, como Copilot e Gemini: historicos de conversa ficam persistidos em IndexedDB, caches de Service Worker e bancos ESE, e a limpeza padrao de dados de navegacao frequentemente deixa fragmentos recuperaveis -- ja explorado por extensoes maliciosas para coletar historicos de chat de LLM. O ALEAPP tambem ganhou o framework Mister Skinnylegs, ampliando o suporte para 28 tipos de artefatos de navegadores baseados em Chromium, incluindo armazenamento LevelDB e dados especificos de apps como Binance, Discord e ChatGPT.
Por fim, o item mais sensivel do ponto de vista de resposta a incidentes e a tecnica anti-forense da variante de botnet Mirai chamada Tengu: ela explora o watchdog de hardware para forcar reinicializacoes que apagam memoria volatil e artefatos de processo, usa memfd_create para execucao inteiramente em RAM (sem tocar o disco) e corrompe cabecalhos ELF para dificultar analise posterior. Sao tecnicas aplicaveis a praticamente qualquer hardware embarcado com Linux, o que amplia consideravelmente a superficie de dispositivos IoT vulneraveis a esse tipo de evasao -- um lembrete de que a coleta de evidencia volatil em dispositivos embarcados comprometidos precisa acontecer antes que o proprio malware force a perda dessa memoria.