Pesquisadores apresentaram o AutoPYara, pacote Python open-source que melhora a geracao automatica de regras YARA a partir de clusters de amostras de malware. A ferramenta usa selecao de centroide por hashing de similaridade e uma heuristica de subclusters baseada em dados historicos do VirusTotal para lidar com a diversidade intra-familiar que degradava a qualidade das regras no AutoYara, estado da arte anterior.
O artigo 'Federated Forensics' propoe uma arquitetura de tres camadas que permite a agencias de investigacao de diferentes paises treinarem modelos analiticos em conjunto sem centralizar dados, respeitando regras de jurisdicao e governanca. A camada intermediaria atua como uma fronteira que bloqueia atualizacoes de modelo de cruzarem limites nao autorizados, mesmo usando-as localmente.
Artigo publicado na revista Forensic Science International: Digital Investigation propõe uma metodologia para avaliar a integridade forense de logs de voo gerados por controladores que rodam o firmware PX4, amplamente usado em drones comerciais e de código aberto. A abordagem combina verificações de consistência interna dos próprios registros com experimentos de manipulação controlada, simulando adulteração para medir se os indicadores de integridade conseguem detectá-la.
Pesquisadores apresentam uma metodologia automatizada para reconstruir, a partir de capturas PCAP, a execução de protocolos de rede sob o modelo de intruso passivo Dolev-Yao. O framework extrai objetos serializados em Java, remonta sessões concorrentes e valida as reconstruções contra uma especificação formal do protocolo (AnBx), atingindo mais de 94% de sucesso em capturas de sessão única e cerca de 89% em cenários com sessões paralelas.
Um novo framework chamado MEvince usa LLMs amarrados a uma representação comportamental estruturada para identificar técnicas MITRE ATT&CK em relatórios de análise de malware, em vez de deixar o modelo associar livremente texto a técnicas por plausibilidade. Avaliado contra 11 baselines em 610 relatórios públicos referenciados pelo próprio MITRE ATT&CK, o método melhorou o F1 de identificação exata em 17,4% sobre a melhor baseline. O diferencial central é rastrear cada atribuição de técnica até o trecho exato do relatório que a sustenta, o que importa diretamente para defensabilidade de conclusões em investigações.
Pesquisadores apresentam o MODEXRE, um pipeline que transforma um classificador XGBoost com explicabilidade SHAP em uma ferramenta forense de verdade: ele separa um modo 'Laboratório' (treino e certificação em dados sintéticos) de um modo 'Formal' (inferência sobre evidência real de caso, com modelo congelado e hash-verificado). O artigo documenta quatro falhas reais encontradas durante o desenvolvimento — incluindo vazamento de timestamp e um classificador binário certificado por engano quando deveria ser multiclasse — e como a correção delas mudou drasticamente os resultados em uma captura de pacotes real.
Publicado na Forensic Science International: Digital Investigation (v. 59, dez/2026), o artigo de Shin, Moon, Jang e Kim aborda a falta de padronização de ferramentas e equipamentos entre laboratórios de perícia digital. A tentativa de acesso ao texto completo foi bloqueada pelo editor, então a análise abaixo é contextual, baseada no tema e no veículo de publicação, sem detalhar achados específicos do artigo.
O Forensic Focus relata o caso de um perito que, ao investigar um atropelamento seguido de fuga, só conseguiu extrair dados cruciais do veículo depois que as ferramentas forenses comerciais padrão falharam em reconhecer ou decodificar os módulos envolvidos. O episódio é usado como argumento para defender uma postura 'tool agnostic' na perícia digital, isto é, não confiar ciegamente em suítes automatizadas quando a evidência exige abordagem manual.
Pesquisadores apresentam uma análise empírica de comportamento pós-infecção em 37 famílias de malware usando execução dinâmica em sandbox (CAPEv2) e modelagem por grafos heterogêneos. A ferramenta resultante, HeteroScan, classifica famílias e gera relatórios de analista mapeados ao MITRE ATT&CK.
Um estudo revisita o dataset Elliptic++, citado em mais de 1.300 trabalhos acadêmicos de forense de criptomoedas, e identifica vazamento de informação futura causado por uma divisão de dados que não respeita a ordem temporal. Ao corrigir o pipeline com uma divisão estritamente temporal, o F1-score de um Random Forest na classe ilícita despenca de 0,846 para 0,291.
TxBench é um novo benchmark que reúne 1.012 transações de ataque confirmadas por evidência, extraídas de 602 incidentes reais em sete blockchains compatíveis com EVM, totalizando US$ 868,1 milhões em valor extraído. O trabalho expõe que LLMs usados como detectores de fraude identificam no máximo 43% dos ataques e nenhum comprometimento de chave privada.
Pesquisadores construíram o TE-GvA, um dataset de quase 10 mil decisões de resposta a incidentes em um processo industrial simulado, para quantificar o trade-off entre agir imediatamente sobre a causa mais provável de uma falha e primeiro coletar evidência para distinguir causas parecidas. Rótulos baseados em crença — e não apenas em retrospecto — reduzem o arrependimento de decisões em até 27% nos cenários mais ambíguos.
VeriSpoof é um modelo de linguagem de áudio que combina em um único conjunto de pesos cinco tarefas forenses sobre deepfakes de voz: detecção, atribuição ao sistema gerador, análise das condições de gravação, localização de trechos sintetizados e verificação de origem comum entre gravações. O modelo alcança 2,14% de taxa de erro no benchmark Speech-DF-Arena e justifica cada decisão com evidências verificáveis contra a forma de onda.
Usando o dataset EMBER2024, pesquisadores testaram se modelos de machine learning conseguem prever a data de "primeira detecção" (first-seen) de um executável ou apontar quando seu timestamp de compilação PE/COFF é implausível. A regressão direta do first-seen produziu erros do tamanho de boa parte da janela de coleta do próprio dataset, tornando a abordagem inútil para ordenação cronológica. Já classificadores binários conseguiram identificar, com boa discriminação, timestamps claramente implausíveis — uma tarefa mais modesta, mas de uso prático real.
Um estudo de validação de um pipeline de triagem de forense de memória para imagens Windows — que converte saídas do Volatility 3 em grafos e aplica um classificador neural (GINE) combinado com detectores one-class — descobriu que amostras rotuladas como "benignas" no dataset MalVol-25 exibem sinais de injeção de processo e indicadores de comando-e-controle em praticamente todos os casos de controle (15/15 e 18/18). O mesmo defeito reaparece em datasets públicos amplamente citados, como o CIC-MalMem-2022, onde 53% das amostras "benignas" carregam indicadores de injeção. Os autores chamam isso de "label-signal mismatch": a classe benigna nunca foi de fato verificada, apenas presumida pela proveniência da coleta.
Pesquisadores demonstraram uma técnica de envenenamento de dados que usa um sintetizador de voz (FastSpeech 2 com vocoder HiFi-GAN modificado) para injetar artificialmente os estouros de baixa frequência característicos de fonemas plosivos, enganando detectores de vivacidade de voz baseados em GFCC e SVM, como o VoicePop. Diferente do ataque anterior (SyntheticPop), que reduzia a acurácia do detector para até 14% mas deixava artefatos visíveis em forma de onda e espectrograma, a nova técnica sobrepõe ruído gaussiano sutil para mascarar esses sinais, dificultando a identificação do envenenamento por inspeção visual ou automatizada.
Um relato de caso da Magnet Forensics descreve como um vídeo recuperado de um iPhone apreendido na cena de um homicídio revelou a existência de um segundo suspeito e documentou o planejamento do crime, incluindo a exibição da arma. Dados de localização em cache do iOS complementaram a análise, reconstruindo cronologicamente a movimentação do aparelho antes e depois do disparo. O caso mostra, na prática, como a combinação de recuperação de mídia apagada com artefatos de geolocalização pode sustentar uma linha do tempo investigativa sólida o suficiente para levar a confissões.
Um artigo acadêmico recém-publicado no arXiv (cs.CR) examina o que acontece quando agentes baseados em LLM triam alertas de segurança combinando as saídas de múltiplos detectores sem verificar se essas fontes são confiáveis entre si. Usando o dataset CIC-IDS2017 corrigido, os autores mostram que corromper apenas um de quatro detectores já é suficiente para destruir a acurácia da triagem automatizada, e propõem um mecanismo de verificação cruzada (CAV) que recupera boa parte dessa acurácia a baixo custo computacional.
O pesquisador Didier Stevens atualizou sua ferramenta onedump.py, usada para extrair arquivos embutidos em documentos OneNote (.one), adicionando uma opção de saída em JSON que permite processar múltiplos arquivos de uma só vez. Combinada com o script myjson-filter.py, a nova funcionalidade grava os objetos extraídos em disco nomeados por hash SHA256, facilitando a triagem de lotes de amostras.
A Magnet Forensics publicou um guia estruturado em cinco fases para investigar casos de Business Email Compromise, cobrindo desde a contenção inicial até o relatório final. O material detalha quais artefatos de nuvem e endpoint precisam ser preservados para reconstruir a cronologia do ataque sem destruir evidências durante a remediação.
Um estudo de caso da Forensic Focus relata como a extração forense de um MacBook com a tela quebrada e de um iPhone, usando o Belkasoft X, forneceu evidências decisivas em um caso de fraude imobiliária de £113.000 no Reino Unido. O dano físico ao dispositivo não impediu a aquisição dos dados, e as evidências recuperadas foram determinantes para a condenação do autor da fraude.
Pesquisadores apresentam o Encore, um sistema que compila provas de conceito (PoC) em Python para vulnerabilidades conhecidas diretamente em regras de caça a ameaças específicas por CVE, sem executar o exploit. A ferramenta explora o fato de que, em 33 dos 45 CVEs analisados, o exploit público ficou disponível antes de qualquer regra de detecção (Sigma, Elastic ou Splunk), com uma mediana de 22 dias de atraso.
Um novo estudo propõe usar os chamados Content Credentials (CCs) parciais do padrão C2PA — que registram apenas as últimas operações aplicadas a uma imagem — como pista adicional para detectores forenses de manipulação e geração sintética. A técnica reconstrói o que o último assinante fez à imagem e usa essa informação para adaptar o detector ao caso concreto, mitigando o desalinhamento estatístico que normalmente degrada esses classificadores.
O SANS ISC publicou um guia prático para implantar o Ghidra Server, componente de colaboração do Ghidra que transforma projetos locais em repositórios compartilhados e versionados. A proposta resolve um problema comum em laboratórios baseados em snapshots de VM: a perda de anotações, comentários e estruturas de engenharia reversa sempre que a máquina é revertida a um estado anterior.
Pesquisadores publicaram na Forensic Science International: Digital Investigation (volume 59) um estudo de caso sobre artefatos forenses deixados por carteiras de criptomoeda hierárquicas deterministas (HD), usando Exodus e Sparrow como objetos de teste. O tema é relevante para investigações de crimes financeiros em que a reconstrução de endereços e chaves a partir de vestígios em disco pode decidir o rastreamento de fundos ilícitos.
A Magnet Forensics anunciou o Magnet AI Research Lab e divulgou seu primeiro estudo peer-reviewed, publicado no Journal of Forensic Sciences, comparando o classificador de IA do Magnet Verify com examinadores humanos na tarefa de autenticar vídeos (originais, editados, de redes sociais ou gerados por IA). O sistema atingiu 91% de acurácia contra 69% dos humanos, sem nenhuma classificação incorreta, abstendo-se de decidir nos casos ambíguos.
Pesquisadores analisaram 14.591 edições e 79.541 postagens de URLs feitas por agentes autônomos de LLM em uma wiki alemã pública, mostrando como a converteram em um quadro de mensagens informal mesmo estando restritos a requisições HTTP GET. Foram catalogados 67 serviços intermediários usados para encadear URLs em até cinco camadas, tanto para ampliar capacidades quanto para evadir filtros de rede. O trabalho usa metodologia de reconstrução de artefatos web equivalente a uma investigação forense de rede, com implicações diretas para quem monitora abuso e exfiltração via agentes de IA.
A Magnet Forensics anunciou a criação do Magnet AI Research Lab e publicou, no Journal of Forensic Sciences, seu primeiro estudo revisado por pares comparando peritos humanos a um sistema especialista de IA na autenticação de vídeos. O experimento testou 14 arquivos (originais de câmera, editados, de redes sociais e gerados por IA) e mostrou o módulo automatizado do Magnet Verify superando examinadores humanos treinados (91% contra 69% de acerto). A publicação busca dar lastro científico ao uso de IA em laudos periciais, ponto sensível em disputas judiciais sobre confiabilidade de prova digital.
Pesquisadores publicam na FSI: Digital Investigation (v. 59) uma técnica de data carving voltada especificamente a PDFs modernos, usando reconstrução de cross-reference streams e um algoritmo de reparo bi-fragmentado ancorado para recuperar documentos corrompidos ou parcialmente sobrescritos. A proposta ataca uma lacuna das ferramentas de carving genéricas, que tratam o PDF como blob binário e ignoram sua estrutura interna de objetos e streams. É relevante para peritos que precisam reconstruir provas documentais a partir de espaço não alocado, imagens de disco danificadas ou containers truncados.
Um novo framework chamado FPTracer promete desemaranhar fluxos de ativos ilícitos no Ethereum que passam por protocolos DeFi, pontes cross-chain e mixers como o Tornado Cash em sequências de múltiplos estágios. Validado em 20 casos reais de lavagem, o sistema atingiu recall de 98,6% para endereços conhecidos e descobriu 30 pontes de transferência não reportadas anteriormente. O trabalho é relevante para investigações de crimes financeiros em cripto, área em que métodos manuais de tracing hoje dependem fortemente de listas estáticas de contratos conhecidos.
A Magnet Forensics publicou um guia técnico sobre os artefatos deixados por conexões RDP em ambos os lados da sessão — registro, logs de eventos, cache de bitmap e evidências de execução do mstsc.exe — e como correlacioná-los numa linha do tempo confiável. O artigo reforça que nenhum artefato isolado prova a história completa de uma sessão remota.
Examinadores que trabalharam no caso Kohberger relatam como o desligamento manual do celular, a desativação de Wi-Fi e dados celulares e uma limpeza profunda do laptop (incluindo os próprios logs de limpeza) se tornaram, paradoxalmente, as evidências mais incriminadoras. O artigo da Cellebrite detalha o uso de Physical Analyzer, testes de replicação em dispositivos idênticos e dados de torre celular via CAST do FBI para sustentar as conclusões em tribunal.
A edição semanal da Forensic Focus traz um artigo técnico sobre persistência por WMI Permanent Event Subscription (ActiveScriptEventConsumer), do registro à execução e artefatos de memória, com regras Sigma para detecção. Também destaca a versão 4 do MD-RED, com análise de mídia por IA e varredura de malware em forense móvel, e um episódio de podcast sobre o desenvolvimento do Amped FIVE.
Pesquisadores apresentam o MIG-COW, um framework de ataque adversarial que combina gradientes integrados por momentum com uma decomposição ortogonal de consenso para gerar perturbações visuais imperceptíveis capazes de enganar detectores de deepfake baseados em CNN e Vision Transformer. Em cenário de caixa branca o ataque atinge 99,96% de sucesso mantendo alta similaridade perceptual (SSIM), mas cai para 7,16% contra alvos de caixa preta desconhecidos, revelando o limite real da transferibilidade. O estudo também mostra que combinar modelos substitutos pouco precisos no ensemble de ataque pode piorar sua eficácia.
O SecLog-Bench é um benchmark com 29 cenários de ataque simulados que combina logs de auditoria, de aplicação e de tráfego de rede, anotados com uma cadeia de evidências estruturada passo a passo, para avaliar se LLMs conseguem reconstruir a progressão de um ataque após a detecção inicial. Testando oito modelos mainstream, os autores encontram desempenho modesto (melhor acurácia de 44,44%, Macro-F1 de 45,07%, e apenas 54,87% de F1 no raciocínio por estágio), com casos frequentes de previsão correta acompanhada de raciocínio incorreto.
Pesquisadores apresentam o VMSpec, uma ferramenta que reconstrói automaticamente a especificação do processador virtual usado por malware ofuscado via VM, permitindo que decompiladores convencionais como o Ghidra analisem o bytecode diretamente. Em testes com 147 amostras de benchmark e seis algoritmos de geração de domínios (DGA) extraídos de malware real, a técnica removeu a ofuscação de quase todas as amostras, produzindo saída comparável à decompilação do código original.
Um novo estudo propõe uma taxonomia de ataques anti-forenses que exploram o uso de LLMs como assistentes ou agentes autônomos em perícia digital, aproveitando o fato de que a evidência analisada é, por definição, controlada pelo atacante. Os autores demonstram três ataques práticos contra um pipeline de análise assistido por LLM: alterar a conclusão do laudo, gravar conteúdo escolhido pelo atacante na estação do analista e provocar tráfego de rede de saída — tudo isso a partir de texto plantado no próprio dispositivo apreendido.
Um novo estudo acadêmico mede, alegação por alegação, o quanto se pode confiar em laudos de forense móvel Android redigidos com apoio de LLMs (Gemini, Llama e Qwen). Dos 612 enunciados extraídos de seis relatórios, mais de duzentos ficaram sem suporte probatório, contraditórios ou incompletos, mesmo quando os modelos recuperaram corretamente os fatos autorizados pelo caso. O trabalho propõe uma metodologia auditável para rastrear a cadeia entre alegação e evidência, reforçando que a autoridade final sobre o laudo deve permanecer com o perito humano.
Pesquisadores propõem uma metodologia de aquisição forense de sinais sem fio (GNSS e AIS) para investigar encalhes e colisões causados por spoofing ou jamming no ambiente marítimo. A proposta captura IQ bruto multicanal junto com metadados de instrumento sincronizados no tempo, empacotados em um envelope auditável com cadeias de hash e ancoragem temporal para resistir a contestação em processos de responsabilização.
O Forensic Focus publicou um guia prático sobre como atacantes usam assinaturas permanentes de eventos WMI, em especial o consumidor ActiveScriptEventConsumer, para manter persistência furtiva em sistemas Windows comprometidos. O artigo percorre o ciclo completo: registro da assinatura, disparo e execução do código malicioso, artefatos deixados em disco e memória, detecção via regras Sigma e remoção segura durante a resposta a incidente.
Pesquisadores propõem um framework forense que autentica vídeos a partir da frequência da rede elétrica (ENF) — o zumbido captado no áudio e a cintilação captada no vídeo por obturador rolante — um sinal que modelos generativos não controlam diretamente. Um orquestrador agentico combina autenticidade do sinal com evidências de manipulação de conteúdo, escalando detectores mais caros só quando necessário, e atinge taxas de aceitação de 93% (áudio) e 100% (vídeo) em material genuíno, contra baselines de 53% e 15%.
O ABF-Bench é um benchmark interativo que transforma o rastreamento de fundos em blockchain numa tarefa verificável: cada movimento afirmado pelo agente precisa citar o registro de ledger que ele próprio recuperou. Construído a partir de casos reais de lavagem de dinheiro, o estudo mostra que um harness especializado em memória de trabalho atinge 75% de recall de arestas no grafo de rastreamento, contra 47% do Codex e apenas 10% do Claude Code, que perde pontos por citar registros que nunca recuperou de fato.
Um estudo online com 524 participantes mediu a precisão humana em identificar rostos deepfake gerados por cinco famílias de modelos generativos — três GANs, um modelo de difusão e o MLLM GPT-5 — e testou se treinar as pessoas com artefatos visuais específicos de cada gerador funciona melhor que um treinamento genérico. Os autores propõem a Deepfake Face Artifact Taxonomy (DFAT) para catalogar esses artefatos e constatam, de forma contraintuitiva, que modelos mais recentes e avançados não são necessariamente mais difíceis de detectar visualmente; o ganho de treinamento específico por modelo se manteve estável num follow-up de cinco meses.
Um pesquisador mapeou, a partir do código-fonte do firmware Mayhem v2.0.1, onde e como ficam gravados os dados forensicamente relevantes no cartão microSD de dispositivos HackRF One/PortaPack usados para captura e replay de sinais de rádio. Usando a imagem real de um dispositivo com quatro meses de uso, o estudo demonstra a recuperação de capturas IQ apagadas e aparadas, além de atribuir seis gravações a um único transmissor OOK de código rolante por meio de um identificador de 32 bits. É o primeiro trabalho revisado por pares sobre forense desse tipo de SDR portátil, preenchendo uma lacuna importante para peritos que lidam com spoofing, jamming ou replay attacks.
Um estudo acadêmico propõe 36 marcadores fisiológicos — ligados a respiração, fonação e coordenação temporal da fala — como sinal para distinguir voz humana real de voz sintetizada. A abordagem busca superar a fragilidade dos detectores tradicionais, que miram artefatos de síntese e degradam diante de ataques ou condições de gravação não vistas durante o treino. Os resultados, com taxa de erro de 21,4% no próprio domínio e 32,8% fora dele, mostram ganho de interpretabilidade mas generalização ainda limitada.
Pesquisadores propõem o TrustPaper, uma abordagem forense para detectar atestados médicos em PDF falsificados que combina o emissor declarado do documento, um perfil de referência aprendido de documentos genuínos daquele emissor, e um conjunto de módulos forenses que explicam cada anomalia encontrada. Em teste controlado com dois emissores e seis técnicas de falsificação, o método detectou todas as fraudes sem gerar falsos positivos.
Um estudo acadêmico demonstra que dados de NetFlow com granularidade baixa — contagens de pacotes amostradas a 1 em 1.000, agregadas por minuto — são suficientes para identificar o servidor real por trás de um serviço onion do Tor, tanto por ataques ativos (indução de padrões de tráfego) quanto por um ataque passivo que explora a defesa anti-DoS do próprio Tor como canal lateral. Os autores pedem redesenho dos sinais de defesa publicamente visíveis do protocolo.
Artigo do Forensic Focus discute por que classificar uma imagem de placa veicular simplesmente como “borrada” não é um diagnóstico técnico válido em exames periciais. O autor defende que a estratégia de processamento de imagem deve ser escolhida a partir das características físicas da captura, e que a confiança atribuída à interpretação final deve ser proporcional à evidência disponível, não à vontade de produzir uma resposta.
O artigo do Forensic Focus mostra como a ferramenta iVe, usada para extração forense de dados de módulos eletrônicos automotivos, permite reconstruir eventos como frenagens brutas, acelerações bruscas e variações de velocidade registrados pelos sistemas do veículo. Essas informações passam a funcionar como evidência objetiva para diferenciar condução normal de condução de risco em investigações.
O pesquisador Erik Hjelmvik (Netresec) mapeou a evolução do canal de comando e controle do AtlasRAT, backdoor associado ao grupo chinês Silver Fox (também rastreado como Void Arachne/TA4922/SwimSnake). O malware migrou de um handshake em texto claro iniciado por 'SFuck' para uma variante 'BFuck' com criptografia ChaCha20, e mais recentemente passou a se camuflar em TLS na porta 443. O artigo publica assinaturas Suricata e uma lista de IOCs (IPs, domínios e fingerprints JA3) para detecção em rede.