Pesquisadores apresentaram um método de detecção de áudio sintético (deepfake) baseado em coerência temporal: em vez de treinar uma rede profunda de ponta a ponta, eles extraem embeddings de áudio com CLAP, medem a similaridade de cosseno entre segmentos consecutivos e treinam um classificador ensemble leve sobre as estatísticas dessa distribuição. O trabalho cobre fala, música instrumental e música com vocais, mas o achado mais relevante é negativo: 21 das 29 features estatísticas usadas invertem a direção discriminativa entre o treino e o uso em campo, e a entropia chega a discriminar em sentidos opostos para fala e para música.
A Atola Technology apresentou o Atola Boot Image, um ambiente forense inicializável (bootável) voltado a cenários em que retirar o disco do computador da cena é arriscado, demorado ou fisicamente inviável. A proposta é permitir que o perito colete uma imagem forense do disco interno mantendo-o instalado na própria máquina, reduzindo o risco de dano ao hardware e o tempo de resposta em campo.
Um artigo no arXiv descreve um método em nível de aplicativo, usando o framework Core NFC do iOS, para ler cartões de pagamento contactless dos sistemas nacionais HUMO e UZCARD (Uzbequistão) e PRO100 (Rússia/Cazaquistão), extraindo número da conta primária (PAN) e data de validade sem emular o cartão ou autorizar qualquer transação. Os autores mapeiam os AIDs EMV compatíveis com cada rede e implementam um parser híbrido que prioriza campos BER-TLV padrão, recorrendo a offsets fixos legados apenas quando a resposta do cartão não segue a estrutura esperada. O trabalho nasce de uma lacuna real: esses mercados não têm suporte Apple Pay, então a população segue dependente do cartão físico, que se mostra igualmente exposto.
Um novo benchmark, o SCRIPTIOC-BENCH, reúne 634 amostras reais e verificadas manualmente de malware em JavaScript, PowerShell e VBScript para medir a capacidade de LLMs de extrair estaticamente indicadores de comprometimento — URLs, domínios, IPs e artefatos de sistema de arquivos — sem executar o código. O modelo mais forte avaliado atingiu apenas 65,4 de F1, o que mostra que a extração automatizada de IOCs continua não confiável quando os indicadores estão ofuscados ou exigem decodificação, mesmo usando os modelos mais capazes disponíveis.
Pesquisadores publicaram na Forensic Science International: Digital Investigation (vol. 59) um estudo com casos reais de extração de artefatos forenses em impressoras 3D Creality baseadas em Linux, rodando o firmware open-source Klipper. O trabalho endereça uma lacuna pouco explorada na perícia: dispositivos de manufatura aditiva que combinam microcontrolador e uma placa companheira Linux completa.
Pesquisadores apresentam o ICFlowNet, um framework de aprendizado em grafos que recupera arestas de fluxo de controle indireto (chamadas indiretas, tail calls, jump tables e returns) em binários x86-64 sem símbolos de depuração. O trabalho também propõe um protocolo de avaliação mais rigoroso, com deduplicação em nível de função e separação por pacote, para evitar vazamento de dados entre treino e teste, um problema comum na literatura anterior.
Um paper de posicionamento e arquitetura propõe um modelo neutro de fornecedor para registrar, com ancoragem criptográfica em blockchain, comunicações entre agentes de IA, chamadas de ferramentas, aprovações humanas e artefatos de processo, sem colocar conteúdo sensível on-chain. A motivação declarada é um incidente de 2026 envolvendo OpenAI e Hugging Face, e o objetivo é dar suporte a reconstrução de incidentes, auditorias de GRC e conformidade com EU AI Act, NIS2 e o Cyber Resilience Act.
Pesquisadores descrevem um sistema em produção que pontua 835 milhões de endereços em cinco blockchains EVM pela posição estrutural no grafo de transações, em vez de depender apenas de listas de sanções e heurísticas de clustering. Em testes retrospectivos contra 68 eventos reais de designação por órgãos reguladores, o modelo sinalizou 58,8% dos casos dentro de um orçamento de alerta de 0,1%, com mediana de antecedência de 528 dias (Ethereum) e 648 dias (Tron) antes da designação oficial.
Um preprint no arXiv propõe um framework de forense de proveniência para mídia sintética que verifica se uma imagem veio de um gerador específico por meio de um par encoder-decoder que reconstrói a entrada e compara a consistência do resultado, sem exigir marca d'água nem alterar o modelo gerador. A abordagem é apresentada como caminho para evidência interpretável de origem em cenários de plataformas de IA como serviço, mas ainda é um trabalho de pesquisa validado nas condições dos próprios autores.
A compilação semanal do Forensic Focus reúne o que a comunidade de forense digital publicou nos últimos dias: frameworks de IA aplicados a DFIR, ferramentas surgidas em hackathons, artefatos de desbloqueio no macOS, técnicas de correlação de logs entre plataformas e extração forense de dados do Apple Health. É uma curadoria, não um artigo técnico único, mas mapeia bem as frentes ativas de pesquisa e prática forense nesta semana.
Um artigo publicado na Forensic Science International: Digital Investigation (v.58) apresenta seis métodos inéditos de ocultação de dados dentro da estrutura interna do Btrfs, incluindo abuso de STRING_ITEMs, e avalia cada um por capacidade, estabilidade e dificuldade de detecção. Os autores, Fergus Toolan e Georgina Humphries, apontam que as ferramentas forenses atuais têm suporte limitado ao Btrfs, o que amplia a janela de uso dessas técnicas como anti-forense em investigações reais.
A Belkasoft anunciou em prévia o recurso BelkaGPT na versão 2.12 do Belkasoft X, capaz de traduzir chats, SMS e textos extraídos de artefatos em mais de 100 idiomas, rodando inteiramente na máquina do perito. A proposta é eliminar a necessidade de enviar evidência digital a serviços de tradução em nuvem durante a análise.
Artigo aceito na Forensic Science International: Digital Investigation (volume 58, setembro de 2026), assinado por Mahdi Daghmehchi Firoozjaei, MinChang Kim, Hyoungshick Kim, Arash Habibi Lashkari e Ali A. Ghorbani, propõe métodos de extração de características e perfilamento comportamental sobre dados de blockchain para apoiar a análise de transações ilícitas. Os autores fazem parte de grupos de pesquisa reconhecidos em forense digital e análise de tráfego (entre eles o Canadian Institute for Cybersecurity), o que dá peso metodológico ao trabalho. O texto completo está atrás de paywall na ScienceDirect, então a leitura abaixo é contextual, baseada no título, autoria e periódico.
Pesquisadores (Juan Hu, Shaojing Fan, Sanjay Saha, Marc Herrera e Terence Sim) publicaram no arXiv o TaintedPixels, um método de proteção proativa de vídeos faciais que injeta uma marca d'água quase imperceptível no canal azul da imagem. A marca permanece discreta no vídeo original, mas se torna visivelmente perceptível assim que o vídeo passa por uma ferramenta de manipulação facial do tipo caixa-preta, facilitando a identificação humana e automatizada da falsificação. Em teste com 300 vídeos e usuários não especialistas, a taxa de identificação de deepfakes saltou de 56,71% (fonte sem proteção) para 90,72% (fonte protegida).
Um pesquisador do SANS Internet Storm Center processou 1,3 TB de amostras de malware do MalwareBazaar, cobrindo fevereiro de 2020 a julho de 2026, para identificar qual toolchain de compilação gerou cada binário PE malicioso. O script, construído sobre a biblioteca pefile, combina leitura do Rich Header, do cabeçalho CLR (.NET) e heurísticas de string para atribuir compilador/linker às amostras. O resultado mostra predominância de binários 32-bit, forte presença do MSVC entre as amostras identificáveis e uma fatia relevante de amostras sem toolchain identificável, provavelmente por empacotamento ou remoção de metadados.
A edição semanal de curadoria de notícias forenses da Forensic Focus agrupa cinco frentes que vêm ganhando espaço na prática pericial: vestígios deixados por uso de ferramentas da OpenAI, o recurso Screen Time da Apple como fonte de evidência de uso de aplicativos, técnicas de geolocalização extraídas de memória volátil, uso de IA para acelerar investigações e os gargalos de imagem forense em laboratórios com grande volume de casos. Não foi possível acessar o texto integral de cada matéria referenciada no momento desta análise, então o resumo abaixo trata do significado de cada tema para a prática de DFIR, sem reproduzir achados específicos do post original.
Pesquisadores propõem um agente que trata a localização de dados pessoais (PII) em bancos SQLite de aplicativos móveis como um problema de busca adaptativa sob incerteza, em vez de varredura exaustiva de todas as tabelas e colunas. Testado no corpus CTF da Cellebrite, com 25 bancos de 10 apps Android e iOS, o método reduziu o espaço de busca em quase 80% mantendo F1 de 94,5% com o Gemini 2.5 Pro, mas mostrou variação relevante entre os 12 modelos avaliados.
Um novo benchmark reprodutível avalia se agentes baseados em LLM conseguem inferir corretamente relacionamentos entre tabelas em bancos SQLite forenses sem documentação, tratando separadamente o sucesso de execução de uma consulta e a correção estrutural da inferência relacional. Usando o banco de SMS do Android e o banco do Snapchat como casos de teste, o estudo mostra que os agentes funcionam bem em esquemas regulares, mas produzem joins plausíveis e executáveis, porém estruturalmente incorretos, à medida que a irregularidade do esquema aumenta.
Pesquisadores apresentam o EGAMA-RC, um framework de triagem de malware para forense de memória que vai além da acurácia bruta de classificação, incorporando calibração de risco, detecção de novidade e roteamento de casos incertos para revisão humana. Em três datasets de malware, o sistema aceitou automaticamente 93,12% das amostras com 99,86% de acurácia nos casos aceitos e taxa de falso-positivo de 0,136%, com inferência rápida via XGBoost (latência sub-milissegundo).
O pesquisador Didier Stevens (ISC/SANS) analisou uma variante do loader DOUBLECUP que anexa um script PowerShell em texto puro logo após um arquivo PNG válido, sem embuti-lo em pixels ou metadados. A extração usa um truque simples: um marcador de quebra de linha (CR+LF) seguido de FINDSTR para localizar e redirecionar o script ao interpretador, dispensando qualquer parser customizado.
Pesquisadores lançam o Scalpel3, um framework open source de carving de dados projetado para recuperação de arquivos tanto contíguos quanto fragmentados em larga escala, algo que ferramentas clássicas como Foremost, Scalpel v1/2 e PhotoRec não oferecem de forma genérica. A arquitetura abstrai paralelização e I/O, permitindo que novos tipos de arquivo sejam suportados apenas com lógica de validação, e integra classificadores ONNX para apoiar a reconstrução de blocos.
Pesquisadores publicam na Forensic Science International: Digital Investigation um método que usa impressões digitais de sensor extraídas no domínio wavelet para aprimorar a identificação da câmera que capturou uma imagem. A técnica se insere na linha de forense de imagem baseada em ruído de padrão de sensor (PRNU), área central para autenticação de mídia digital em investigações.
Artigo aceito para o volume 58 da Forensic Science International: Digital Investigation (FSI:DI), assinado por Juhyeon Han e Taeshik Shon, propõe mapear os artefatos forenses deixados por três extensões populares de assistentes de IA conversacional para navegador — Monica, Sider e MaxAI. O tema é relevante porque essas extensões processam e armazenam localmente conversas e dados potencialmente sensíveis, fora do escopo tradicional de forense de navegador focado em histórico e cookies.
Publicado na Forensic Science International: Digital Investigation, o artigo propõe uma revisão sistemática das aplicações e técnicas de anti-forense usadas em dispositivos Android, área que ganha relevância à medida que apps de privacidade, wipers e ferramentas de ocultação de dados se tornam mais acessíveis. Não foi possível acessar o texto completo (bloqueio de acesso no ScienceDirect), então a análise abaixo é contextual, baseada no escopo declarado do trabalho e no estado da arte da área, não em achados específicos do artigo.
Publicado no volume 58 (setembro de 2026) da Forensic Science International: Digital Investigation, o artigo "Reasoning about artefact tampering", de Christopher Neale, Ian Kennedy e Bashar Nuseibeh, propõe um enquadramento para raciocinar sistematicamente sobre a possibilidade de um artefato digital ter sido adulterado antes ou durante uma investigação forense.
Pesquisadores portugueses publicam na Forensic Science International: Digital Investigation (v.58) um estudo sobre aquisição e análise de artefatos digitais no sistema de infotainment MIB2 de um Volkswagen Golf Mk7, plataforma amplamente usada em veículos do grupo Volkswagen. O texto completo não pôde ser acessado (bloqueio HTTP 403 do ScienceDirect); a análise abaixo é contextual, baseada no título, nos metadados do periódico e no conhecimento geral sobre forense de sistemas automotivos.
Pesquisadores publicam na Forensic Science International: Digital Investigation (v.58) um framework para identificar contradições entre artefatos digitais coletados durante uma investigação — por exemplo, divergências de timeline entre diferentes fontes de log ou metadados que não deveriam conflitar entre si. O texto completo não pôde ser acessado (bloqueio HTTP 403 do ScienceDirect); a análise a seguir é contextual, com base no título, nos metadados do periódico e no problema geral que esse tipo de framework busca resolver.
Publicado na Forensic Science International: Digital Investigation (v.58, set/2026) por Park, Kim, Kim, Lee e Jeong, o artigo propõe um framework de investigação forense voltado a ambientes DaaS (Desktop-as-a-Service). O tema é relevante porque soluções de desktop virtual em nuvem armazenam estado de sessão e artefatos do usuário em infraestrutura multi-tenant e efêmera, o que rompe premissas da forense tradicional de disco.
Publicado na Forensic Science International: Digital Investigation (v.58, set/2026), o artigo de Junghoon Oh apresenta o Ext4 Log Tracker, uma abordagem para gerar eventos de arquivo (criação, escrita, exclusão) a partir do journal do sistema de arquivos Ext4 — usado amplamente em Android e distribuições Linux. A proposta ataca uma lacuna real de ferramental forense para esse sistema de arquivos.
Pesquisadores publicam na Forensic Science International: Digital Investigation um método para reconciliar diferenças de timestamp entre o controlador e os switches em redes definidas por software (SDN), um problema que compromete a confiabilidade de timelines forenses nesse tipo de ambiente. O artigo (volume 58, setembro de 2026) ataca diretamente a questão de como reconstruir uma linha do tempo de eventos de rede quando a arquitetura distribuída da SDN introduz dessincronização de relógios entre plano de controle e plano de dados.
Publicado no volume 58 da Forensic Science International: Digital Investigation, o artigo de Lee, Yun, Park, Kim e Park propõe uma metodologia estruturada para avaliar a confiabilidade de ferramentas forenses usadas na extração e análise de dados de drones. O trabalho ataca um ponto sensível da área: sem testes padronizados, é difícil garantir que uma ferramenta forense de drone extraia dados de forma completa e não alterada, o que compromete a admissibilidade da evidência em processos judiciais.
Pesquisadores propõem, na Forensic Science International: Digital Investigation, uma arquitetura de microsserviços "forense-pronta" voltada à detecção de crimes cometidos por meio de chats e mensageria, como golpes, assédio e aliciamento. A proposta se insere na linha de forensic readiness, que tenta embutir capacidade de coleta e preservação de evidência diretamente na infraestrutura das aplicações, em vez de depender só de perícia post-mortem.
Pesquisadores publicam na FSI: Digital Investigation um framework para investigar o uso indevido do AnyDesk em sistemas Windows, mapeando artefatos que permitem reconstruir sessões de acesso remoto durante uma perícia. O artigo aborda um problema recorrente em DFIR: diferenciar suporte técnico legítimo de abuso por operadores de ransomware e fraude.
Artigo da FSI: Digital Investigation propõe uma metodologia de perícia digital voltada a robôs quadrúpedes, tratando esses dispositivos como uma nova classe de evidência com sensores, telemetria e conectividade próprios. O tema é emergente à medida que empresas de segurança e forças policiais passam a adotar esse tipo de hardware.
Equipe da Purdue University publica na FSI: Digital Investigation um mapeamento de artefatos forenses recuperáveis do RedNote (Xiaohongshu/"Little Red Book"), rede social chinesa que ganhou grande base de usuários internacional. O trabalho compara o que é extraível nas versões Android e iOS do app.
Artigo cientifico publicado na Forensic Science International: Digital Investigation propoe um modelo de deteccao forense em quatro camadas voltado a identificar quando um suspeito altera deliberadamente seu padrao de escrita em conversas monitoradas -- o chamado 'drift' linguistico adversarial -- para escapar de analises de autoria ou perfilamento estilometrico. O tema se insere na linha de forense linguistica aplicada a evidencia digital de mensageria.
Pesquisadores publicaram na Forensic Science International: Digital Investigation (v.58, set/2026) o AEGIS, um framework voltado à preservação de logs em dispositivos Android capaz de resistir a técnicas anti-forenses. A proposta ataca um problema recorrente na perícia móvel: a volatilidade e a facilidade de adulteração dos registros de sistema e de aplicativo em Android.
Artigo publicado na Forensic Science International: Digital Investigation (volume 58, setembro de 2026) propõe uma análise forense da memória de aplicações web de IA generativa, usando o ChatGPT como estudo de caso. O trabalho investiga quais vestígios de uso — prompts, respostas, tokens de sessão e metadados de conversa — permanecem recuperáveis a partir da memória do navegador e do processo do dispositivo do usuário.
Artigo publicado na Forensic Science International: Digital Investigation propõe um método para rotular endereços de ativos virtuais usando decisões judiciais como fonte de verdade, cruzando esses rótulos com padrões comportamentais on-chain observados em casos de fraude e lavagem de dinheiro. A proposta busca dar mais rigor probatório à atribuição de carteiras a atividades ilícitas, um ponto frequentemente contestado em processos envolvendo criptoativos.
Artigo aceito no periódico Forensic Science International: Digital Investigation (v.58, set/2026) faz um levantamento de artefatos forenses gerados por serviços de IA conversacional e por navegadores com agentes de IA embutidos, comparando múltiplas plataformas. O acesso ao texto completo foi bloqueado pelo ScienceDirect, então os artefatos específicos catalogados não puderam ser confirmados aqui.
Pesquisadores propõem um framework de aquisição forense para ferramentas de colaboração em nuvem baseado em chamadas de API, usando o Slack como estudo de caso. O trabalho, publicado na Forensic Science International: Digital Investigation, ataca um problema crescente: como coletar evidências de plataformas SaaS de mensageria corporativa de forma forense quando não há acesso ao servidor nem à infraestrutura subjacente.
Pesquisadores propõem o TGL-APT, um framework que aplica destilação de grafos de proveniência guiada por 'nós information-bottleneck' para tornar a investigação de ataques APT mais rápida e barata. Em datasets DARPA E3, o método atingiu F1-scores de até 95,7% reduzindo tempo de treinamento, latência de detecção e uso de memória em relação ao estado da arte (KAIROS).
Pesquisa testou a capacidade de 82 profissionais de TI e de seis detectores automáticos pré-treinados em identificar fala sintetizada por três ferramentas de clonagem de voz lançadas em 2019, 2022 e 2024. O F1-score de detecção humana caiu de ~90% nos sintetizadores mais antigos para 48% com o ElevenLabs, e a detecção de manipulações parciais (apenas uma frase trocada em um áudio real) ficou em apenas 9% de acurácia rigorosa.
Pesquisadores tratam a execução de ransomware como um problema de otimização de engenharia de software baseada em busca, usando um algoritmo genético para calibrar a criptografia de arquivos de forma que o desvio estatístico em relação à atividade normal do sistema permaneça mínimo. O resultado são padrões de ataque capazes de escapar de monitores comportamentais e técnicas de fingerprinting, permanecendo ocultos por horas em vez de minutos.
Pré-impressão no arXiv propõe um 'Twelve-Step Process' (TSP) cobrindo toda a investigação forense em ambientes de IoT Industrial, da prontidão forense ao encerramento do caso. Os autores argumentam que metodologias tradicionais de forense digital não lidam bem com a complexidade, escala e heterogeneidade típicas de fábricas, hospitais e sistemas de transporte conectados.
Um novo esquema de watermarking frágil substitui funções hash tradicionais por uma permutação dependente do conteúdo aplicada no nível dos planos de bits, prometendo detectar e localizar adulterações com sensibilidade de bit único. Nos testes dos autores, o método zerou falsos positivos e negativos em 17 de 18 tipos de ataque, incluindo colagem, copy-move e quantização vetorial, com forte apelo declarado para forense de imagem e autenticação de documentos legais.
Um framework de resposta a incidentes combina um LLM ajustado que infere a progressão de ataques multi-estágio com um gêmeo digital da rede que replica o ataque inferido e confronta o resultado com o que foi observado, calibrando a inferência antes de qualquer ação de remediação. Em um testbed corporativo de 33 componentes, a abordagem superou baselines de LLMs de fronteira em 18 a 31 pontos percentuais na taxa de sucesso de recuperação, atacando diretamente o problema de agentes autônomos que alucinam cadeias de ataque inexistentes.
A Magnet Forensics defende que mandados de busca para dados em nuvem sejam redigidos a partir do que cada provedor efetivamente guarda, em vez de pedidos genéricos de 'tudo'. A metodologia proposta usa três perguntas estruturais e cinco perguntas por categoria de dado solicitado, com prazos de retenção diferenciados por tipo. O exemplo citado é o Google Takeout, que hoje expõe 62 categorias de dados exportáveis.
Um novo artigo no arXiv apresenta um pipeline reproduzível para identificar endereços de Bitcoin associados a atividade criminosa a partir de 15 anos de mensagens arquivadas do HackForums, combinando triagem por LLM, revisão de especialistas humanos e validação on-chain. O resultado é um dataset público com 2.438 endereços verificados manualmente, cobrindo o período de 2010 a 2024 e doze categorias de cibercrime.
Pesquisadores analisam as principais abordagens de captura de telemetria de kernel para sistemas de proveniência de segurança, identificando eBPF como a tecnologia mais promissora e classificando oito sistemas de proveniência e cinco agentes de captura existentes. A conclusão mais relevante é preocupante: a maioria dessas ferramentas não consegue garantir integridade nem disponibilidade dos eventos capturados, o que as torna inadequadas para uso forense em produção.