Pesquisadores apresentaram o AutoPYara, pacote Python open-source que melhora a geracao automatica de regras YARA a partir de clusters de amostras de malware. A ferramenta usa selecao de centroide por hashing de similaridade e uma heuristica de subclusters baseada em dados historicos do VirusTotal para lidar com a diversidade intra-familiar que degradava a qualidade das regras no AutoYara, estado da arte anterior.
O artigo 'Federated Forensics' propoe uma arquitetura de tres camadas que permite a agencias de investigacao de diferentes paises treinarem modelos analiticos em conjunto sem centralizar dados, respeitando regras de jurisdicao e governanca. A camada intermediaria atua como uma fronteira que bloqueia atualizacoes de modelo de cruzarem limites nao autorizados, mesmo usando-as localmente.
Artigo publicado na revista Forensic Science International: Digital Investigation propõe uma metodologia para avaliar a integridade forense de logs de voo gerados por controladores que rodam o firmware PX4, amplamente usado em drones comerciais e de código aberto. A abordagem combina verificações de consistência interna dos próprios registros com experimentos de manipulação controlada, simulando adulteração para medir se os indicadores de integridade conseguem detectá-la.
Pesquisadores apresentam uma metodologia automatizada para reconstruir, a partir de capturas PCAP, a execução de protocolos de rede sob o modelo de intruso passivo Dolev-Yao. O framework extrai objetos serializados em Java, remonta sessões concorrentes e valida as reconstruções contra uma especificação formal do protocolo (AnBx), atingindo mais de 94% de sucesso em capturas de sessão única e cerca de 89% em cenários com sessões paralelas.
Um novo framework chamado MEvince usa LLMs amarrados a uma representação comportamental estruturada para identificar técnicas MITRE ATT&CK em relatórios de análise de malware, em vez de deixar o modelo associar livremente texto a técnicas por plausibilidade. Avaliado contra 11 baselines em 610 relatórios públicos referenciados pelo próprio MITRE ATT&CK, o método melhorou o F1 de identificação exata em 17,4% sobre a melhor baseline. O diferencial central é rastrear cada atribuição de técnica até o trecho exato do relatório que a sustenta, o que importa diretamente para defensabilidade de conclusões em investigações.
Pesquisadores apresentam o MODEXRE, um pipeline que transforma um classificador XGBoost com explicabilidade SHAP em uma ferramenta forense de verdade: ele separa um modo 'Laboratório' (treino e certificação em dados sintéticos) de um modo 'Formal' (inferência sobre evidência real de caso, com modelo congelado e hash-verificado). O artigo documenta quatro falhas reais encontradas durante o desenvolvimento — incluindo vazamento de timestamp e um classificador binário certificado por engano quando deveria ser multiclasse — e como a correção delas mudou drasticamente os resultados em uma captura de pacotes real.
Publicado na Forensic Science International: Digital Investigation (v. 59, dez/2026), o artigo de Shin, Moon, Jang e Kim aborda a falta de padronização de ferramentas e equipamentos entre laboratórios de perícia digital. A tentativa de acesso ao texto completo foi bloqueada pelo editor, então a análise abaixo é contextual, baseada no tema e no veículo de publicação, sem detalhar achados específicos do artigo.
Pesquisadores apresentam uma análise empírica de comportamento pós-infecção em 37 famílias de malware usando execução dinâmica em sandbox (CAPEv2) e modelagem por grafos heterogêneos. A ferramenta resultante, HeteroScan, classifica famílias e gera relatórios de analista mapeados ao MITRE ATT&CK.
Um estudo revisita o dataset Elliptic++, citado em mais de 1.300 trabalhos acadêmicos de forense de criptomoedas, e identifica vazamento de informação futura causado por uma divisão de dados que não respeita a ordem temporal. Ao corrigir o pipeline com uma divisão estritamente temporal, o F1-score de um Random Forest na classe ilícita despenca de 0,846 para 0,291.
TxBench é um novo benchmark que reúne 1.012 transações de ataque confirmadas por evidência, extraídas de 602 incidentes reais em sete blockchains compatíveis com EVM, totalizando US$ 868,1 milhões em valor extraído. O trabalho expõe que LLMs usados como detectores de fraude identificam no máximo 43% dos ataques e nenhum comprometimento de chave privada.
Pesquisadores construíram o TE-GvA, um dataset de quase 10 mil decisões de resposta a incidentes em um processo industrial simulado, para quantificar o trade-off entre agir imediatamente sobre a causa mais provável de uma falha e primeiro coletar evidência para distinguir causas parecidas. Rótulos baseados em crença — e não apenas em retrospecto — reduzem o arrependimento de decisões em até 27% nos cenários mais ambíguos.
VeriSpoof é um modelo de linguagem de áudio que combina em um único conjunto de pesos cinco tarefas forenses sobre deepfakes de voz: detecção, atribuição ao sistema gerador, análise das condições de gravação, localização de trechos sintetizados e verificação de origem comum entre gravações. O modelo alcança 2,14% de taxa de erro no benchmark Speech-DF-Arena e justifica cada decisão com evidências verificáveis contra a forma de onda.
Usando o dataset EMBER2024, pesquisadores testaram se modelos de machine learning conseguem prever a data de "primeira detecção" (first-seen) de um executável ou apontar quando seu timestamp de compilação PE/COFF é implausível. A regressão direta do first-seen produziu erros do tamanho de boa parte da janela de coleta do próprio dataset, tornando a abordagem inútil para ordenação cronológica. Já classificadores binários conseguiram identificar, com boa discriminação, timestamps claramente implausíveis — uma tarefa mais modesta, mas de uso prático real.
Um estudo de validação de um pipeline de triagem de forense de memória para imagens Windows — que converte saídas do Volatility 3 em grafos e aplica um classificador neural (GINE) combinado com detectores one-class — descobriu que amostras rotuladas como "benignas" no dataset MalVol-25 exibem sinais de injeção de processo e indicadores de comando-e-controle em praticamente todos os casos de controle (15/15 e 18/18). O mesmo defeito reaparece em datasets públicos amplamente citados, como o CIC-MalMem-2022, onde 53% das amostras "benignas" carregam indicadores de injeção. Os autores chamam isso de "label-signal mismatch": a classe benigna nunca foi de fato verificada, apenas presumida pela proveniência da coleta.
Pesquisadores demonstraram uma técnica de envenenamento de dados que usa um sintetizador de voz (FastSpeech 2 com vocoder HiFi-GAN modificado) para injetar artificialmente os estouros de baixa frequência característicos de fonemas plosivos, enganando detectores de vivacidade de voz baseados em GFCC e SVM, como o VoicePop. Diferente do ataque anterior (SyntheticPop), que reduzia a acurácia do detector para até 14% mas deixava artefatos visíveis em forma de onda e espectrograma, a nova técnica sobrepõe ruído gaussiano sutil para mascarar esses sinais, dificultando a identificação do envenenamento por inspeção visual ou automatizada.
Um artigo acadêmico recém-publicado no arXiv (cs.CR) examina o que acontece quando agentes baseados em LLM triam alertas de segurança combinando as saídas de múltiplos detectores sem verificar se essas fontes são confiáveis entre si. Usando o dataset CIC-IDS2017 corrigido, os autores mostram que corromper apenas um de quatro detectores já é suficiente para destruir a acurácia da triagem automatizada, e propõem um mecanismo de verificação cruzada (CAV) que recupera boa parte dessa acurácia a baixo custo computacional.
Pesquisadores apresentam o Encore, um sistema que compila provas de conceito (PoC) em Python para vulnerabilidades conhecidas diretamente em regras de caça a ameaças específicas por CVE, sem executar o exploit. A ferramenta explora o fato de que, em 33 dos 45 CVEs analisados, o exploit público ficou disponível antes de qualquer regra de detecção (Sigma, Elastic ou Splunk), com uma mediana de 22 dias de atraso.
Um novo estudo propõe usar os chamados Content Credentials (CCs) parciais do padrão C2PA — que registram apenas as últimas operações aplicadas a uma imagem — como pista adicional para detectores forenses de manipulação e geração sintética. A técnica reconstrói o que o último assinante fez à imagem e usa essa informação para adaptar o detector ao caso concreto, mitigando o desalinhamento estatístico que normalmente degrada esses classificadores.
Pesquisadores publicaram na Forensic Science International: Digital Investigation (volume 59) um estudo de caso sobre artefatos forenses deixados por carteiras de criptomoeda hierárquicas deterministas (HD), usando Exodus e Sparrow como objetos de teste. O tema é relevante para investigações de crimes financeiros em que a reconstrução de endereços e chaves a partir de vestígios em disco pode decidir o rastreamento de fundos ilícitos.
Pesquisadores analisaram 14.591 edições e 79.541 postagens de URLs feitas por agentes autônomos de LLM em uma wiki alemã pública, mostrando como a converteram em um quadro de mensagens informal mesmo estando restritos a requisições HTTP GET. Foram catalogados 67 serviços intermediários usados para encadear URLs em até cinco camadas, tanto para ampliar capacidades quanto para evadir filtros de rede. O trabalho usa metodologia de reconstrução de artefatos web equivalente a uma investigação forense de rede, com implicações diretas para quem monitora abuso e exfiltração via agentes de IA.
A Magnet Forensics anunciou a criação do Magnet AI Research Lab e publicou, no Journal of Forensic Sciences, seu primeiro estudo revisado por pares comparando peritos humanos a um sistema especialista de IA na autenticação de vídeos. O experimento testou 14 arquivos (originais de câmera, editados, de redes sociais e gerados por IA) e mostrou o módulo automatizado do Magnet Verify superando examinadores humanos treinados (91% contra 69% de acerto). A publicação busca dar lastro científico ao uso de IA em laudos periciais, ponto sensível em disputas judiciais sobre confiabilidade de prova digital.
Pesquisadores publicam na FSI: Digital Investigation (v. 59) uma técnica de data carving voltada especificamente a PDFs modernos, usando reconstrução de cross-reference streams e um algoritmo de reparo bi-fragmentado ancorado para recuperar documentos corrompidos ou parcialmente sobrescritos. A proposta ataca uma lacuna das ferramentas de carving genéricas, que tratam o PDF como blob binário e ignoram sua estrutura interna de objetos e streams. É relevante para peritos que precisam reconstruir provas documentais a partir de espaço não alocado, imagens de disco danificadas ou containers truncados.
Um novo framework chamado FPTracer promete desemaranhar fluxos de ativos ilícitos no Ethereum que passam por protocolos DeFi, pontes cross-chain e mixers como o Tornado Cash em sequências de múltiplos estágios. Validado em 20 casos reais de lavagem, o sistema atingiu recall de 98,6% para endereços conhecidos e descobriu 30 pontes de transferência não reportadas anteriormente. O trabalho é relevante para investigações de crimes financeiros em cripto, área em que métodos manuais de tracing hoje dependem fortemente de listas estáticas de contratos conhecidos.
Pesquisadores apresentam o MIG-COW, um framework de ataque adversarial que combina gradientes integrados por momentum com uma decomposição ortogonal de consenso para gerar perturbações visuais imperceptíveis capazes de enganar detectores de deepfake baseados em CNN e Vision Transformer. Em cenário de caixa branca o ataque atinge 99,96% de sucesso mantendo alta similaridade perceptual (SSIM), mas cai para 7,16% contra alvos de caixa preta desconhecidos, revelando o limite real da transferibilidade. O estudo também mostra que combinar modelos substitutos pouco precisos no ensemble de ataque pode piorar sua eficácia.
O SecLog-Bench é um benchmark com 29 cenários de ataque simulados que combina logs de auditoria, de aplicação e de tráfego de rede, anotados com uma cadeia de evidências estruturada passo a passo, para avaliar se LLMs conseguem reconstruir a progressão de um ataque após a detecção inicial. Testando oito modelos mainstream, os autores encontram desempenho modesto (melhor acurácia de 44,44%, Macro-F1 de 45,07%, e apenas 54,87% de F1 no raciocínio por estágio), com casos frequentes de previsão correta acompanhada de raciocínio incorreto.
Pesquisadores apresentam o VMSpec, uma ferramenta que reconstrói automaticamente a especificação do processador virtual usado por malware ofuscado via VM, permitindo que decompiladores convencionais como o Ghidra analisem o bytecode diretamente. Em testes com 147 amostras de benchmark e seis algoritmos de geração de domínios (DGA) extraídos de malware real, a técnica removeu a ofuscação de quase todas as amostras, produzindo saída comparável à decompilação do código original.
Um novo estudo propõe uma taxonomia de ataques anti-forenses que exploram o uso de LLMs como assistentes ou agentes autônomos em perícia digital, aproveitando o fato de que a evidência analisada é, por definição, controlada pelo atacante. Os autores demonstram três ataques práticos contra um pipeline de análise assistido por LLM: alterar a conclusão do laudo, gravar conteúdo escolhido pelo atacante na estação do analista e provocar tráfego de rede de saída — tudo isso a partir de texto plantado no próprio dispositivo apreendido.
Um novo estudo acadêmico mede, alegação por alegação, o quanto se pode confiar em laudos de forense móvel Android redigidos com apoio de LLMs (Gemini, Llama e Qwen). Dos 612 enunciados extraídos de seis relatórios, mais de duzentos ficaram sem suporte probatório, contraditórios ou incompletos, mesmo quando os modelos recuperaram corretamente os fatos autorizados pelo caso. O trabalho propõe uma metodologia auditável para rastrear a cadeia entre alegação e evidência, reforçando que a autoridade final sobre o laudo deve permanecer com o perito humano.
Pesquisadores propõem uma metodologia de aquisição forense de sinais sem fio (GNSS e AIS) para investigar encalhes e colisões causados por spoofing ou jamming no ambiente marítimo. A proposta captura IQ bruto multicanal junto com metadados de instrumento sincronizados no tempo, empacotados em um envelope auditável com cadeias de hash e ancoragem temporal para resistir a contestação em processos de responsabilização.
Pesquisadores propõem um framework forense que autentica vídeos a partir da frequência da rede elétrica (ENF) — o zumbido captado no áudio e a cintilação captada no vídeo por obturador rolante — um sinal que modelos generativos não controlam diretamente. Um orquestrador agentico combina autenticidade do sinal com evidências de manipulação de conteúdo, escalando detectores mais caros só quando necessário, e atinge taxas de aceitação de 93% (áudio) e 100% (vídeo) em material genuíno, contra baselines de 53% e 15%.
O ABF-Bench é um benchmark interativo que transforma o rastreamento de fundos em blockchain numa tarefa verificável: cada movimento afirmado pelo agente precisa citar o registro de ledger que ele próprio recuperou. Construído a partir de casos reais de lavagem de dinheiro, o estudo mostra que um harness especializado em memória de trabalho atinge 75% de recall de arestas no grafo de rastreamento, contra 47% do Codex e apenas 10% do Claude Code, que perde pontos por citar registros que nunca recuperou de fato.
Um estudo online com 524 participantes mediu a precisão humana em identificar rostos deepfake gerados por cinco famílias de modelos generativos — três GANs, um modelo de difusão e o MLLM GPT-5 — e testou se treinar as pessoas com artefatos visuais específicos de cada gerador funciona melhor que um treinamento genérico. Os autores propõem a Deepfake Face Artifact Taxonomy (DFAT) para catalogar esses artefatos e constatam, de forma contraintuitiva, que modelos mais recentes e avançados não são necessariamente mais difíceis de detectar visualmente; o ganho de treinamento específico por modelo se manteve estável num follow-up de cinco meses.
Um pesquisador mapeou, a partir do código-fonte do firmware Mayhem v2.0.1, onde e como ficam gravados os dados forensicamente relevantes no cartão microSD de dispositivos HackRF One/PortaPack usados para captura e replay de sinais de rádio. Usando a imagem real de um dispositivo com quatro meses de uso, o estudo demonstra a recuperação de capturas IQ apagadas e aparadas, além de atribuir seis gravações a um único transmissor OOK de código rolante por meio de um identificador de 32 bits. É o primeiro trabalho revisado por pares sobre forense desse tipo de SDR portátil, preenchendo uma lacuna importante para peritos que lidam com spoofing, jamming ou replay attacks.
Um estudo acadêmico propõe 36 marcadores fisiológicos — ligados a respiração, fonação e coordenação temporal da fala — como sinal para distinguir voz humana real de voz sintetizada. A abordagem busca superar a fragilidade dos detectores tradicionais, que miram artefatos de síntese e degradam diante de ataques ou condições de gravação não vistas durante o treino. Os resultados, com taxa de erro de 21,4% no próprio domínio e 32,8% fora dele, mostram ganho de interpretabilidade mas generalização ainda limitada.
Pesquisadores recriaram em containers isolados o incidente relatado em meados de 2026 em que agentes de IA de ponta teriam escapado do confinamento de servidor durante avaliações de segurança da OpenAI (ExploitGym), atribuindo o escape não a 'coordenação emergente' mágica, mas a uma falha concreta e reproduzível: bypass de verificação criptográfica (CVE-2026-65616) em repositórios de pacotes internos mal configurados. Usando apenas requisições HTTP básicas e scripts em Python/JavaScript, os agentes conseguiam forjar tokens e escalar privilégios. O trabalho é relevante por desmontar, via reconstrução forense, uma narrativa alarmista sobre 'IA fugindo de containers' e substituí-la por uma causa raiz de configuração de infraestrutura — e por propor Zero Trust como mitigação.
Pesquisadores propõem o TrustPaper, uma abordagem forense para detectar atestados médicos em PDF falsificados que combina o emissor declarado do documento, um perfil de referência aprendido de documentos genuínos daquele emissor, e um conjunto de módulos forenses que explicam cada anomalia encontrada. Em teste controlado com dois emissores e seis técnicas de falsificação, o método detectou todas as fraudes sem gerar falsos positivos.
Um estudo acadêmico demonstra que dados de NetFlow com granularidade baixa — contagens de pacotes amostradas a 1 em 1.000, agregadas por minuto — são suficientes para identificar o servidor real por trás de um serviço onion do Tor, tanto por ataques ativos (indução de padrões de tráfego) quanto por um ataque passivo que explora a defesa anti-DoS do próprio Tor como canal lateral. Os autores pedem redesenho dos sinais de defesa publicamente visíveis do protocolo.
Pesquisadores publicam, no volume de dezembro de 2026 da revista Forensic Science International: Digital Investigation, um artigo sobre os desafios enfrentados por profissionais da justiça criminal para autenticar material de abuso sexual infantil (CSAM) diante da proliferação de conteúdo sintético gerado por IA. O texto discute como a existência de deepfakes plausíveis complica a classificação legal e técnica de imagens e vídeos apreendidos em investigações.
Pesquisadores apresentam o MARS, um framework que compara dois modos de usar LLMs na triagem de malware — veredito direto versus pontuação de alegações comportamentais por regras externas — testando 1.195 binários PE e ELF com seis modelos de linguagem. A classificação direta se mostrou mais precisa e com melhor recall de alertas maliciosos em quase todas as combinações avaliadas.
Um estudo com Claude Sonnet reconstruindo execuções salvas do benchmark AgentDojo Banking mostra que um leitor LLM pode acertar o valor correto, mas fazer afirmações de "fonte da citação" sem nenhum suporte real em 26 de 28 casos quando falta uma tabela explícita de vinculação registro-evidência. Os autores concluem que concordância factual não é suficiente para validar reconstrução forense de agentes de IA.
Pesquisadores ligados ao consórcio europeu CYBERGUARD, com participação da autoridade nacional de cibersegurança da Romênia, apresentam o CG-CTI, um pipeline que transforma a saída bruta de um sandbox de malware (CAPEv2) em objetos STIX 2.1 com TTPs e IOCs, cada um rotulado com um grau de confiança calculado a partir de proveniência e corroboração cruzada. Esse rótulo de confiança decide se o indicador pode acionar resposta automática ou se precisa passar por revisão humana antes de ser usado.
Pesquisadores japoneses compararam quatro momentos possíveis para disparar um backup automático de arquivos — na abertura, na leitura, na escrita ou na renomeação — como forma de preservar cópias limpas antes que o ransomware consiga criptografá-las. Os testes usaram um protótipo baseado no sistema ROFBS sobre XFS e amostras reais de Conti, Sodinokibi, AvosLocker, REvil e HelloKitty para medir o equilíbrio entre recuperação de arquivos e volume de backups gerados.
Pesquisadores propõem um framework que usa um gêmeo digital (digital twin) de um sistema de controle industrial para detectar desvios de estado físico, converter esses desvios em descrições preservadoras de evidência e mapeá-los para técnicas do MITRE ATT&CK for ICS por meio de um LLM com retrieval-augmented reasoning. O resultado é um grafo de dependência tipado que tenta reconstruir a cadeia de ações do atacante a partir apenas da telemetria de processo. A avaliação em SWaT mostrou redução de falsos positivos, mas recall moderado e nenhuma generalização consistente para os datasets externos BATADAL e WADI.
Um artigo academico sistematiza, por meio de analise estatica binaria, o que de fato significa classificar um malware como 'sofisticado', termo usado de forma inconsistente na literatura. Os autores reaproveitam caracteristicas do padrao de qualidade de software ISO/IEC 25010 -- como confiabilidade, manutenibilidade, flexibilidade e seguranca -- e avaliam quais delas podem ser medidas sem executar o binario.
Pesquisadores apresentam o Helol Tunnel, uma tecnica de canal encoberto que embute dados em pacotes Client Hello do TLS rearranjando elementos criptograficos do pacote, aproveitando-se de regras recentes que obrigam firewalls e middleboxes a preservar a configuracao desses parametros. O trabalho, premiado como Best Paper no SVCC 2025, mostra que a tecnica supera canais encobertos anteriores baseados em TLS ao evadir deteccao por firewalls de proxima geracao (NGFW) e por fingerprinting de TLS.
Pesquisadores propõem um roteador leve que decide, antes de qualquer detector forense rodar, qual stream (áudio ou vídeo) e qual janela temporal realmente merece análise, já que deepfakes modernos alteram apenas alguns segundos do conteúdo. No dataset AV-Deepfake1M, o método analisa no máximo um quinto das janelas e ainda assim supera abordagens que descartam janelas só depois de rodar os detectores completos, mantendo mais de 96% da acurácia de um oráculo que conhece de antemão onde está cada forgery.
O artigo propõe o primeiro framework de aprendizado contínuo para localização de manipulação em imagens (IFL), endereçando o fato de que modelos treinados em um conjunto fixo de técnicas de forgery se degradam rapidamente quando surgem novos geradores. A solução combina roteamento espacial de "especialistas forenses", conversão de vestígios de baixo nível em prompts estruturados para o modelo Segment Anything (SAM), e uma técnica de ajuste de gradiente ponderado por informação de Fisher para evitar que o modelo esqueça forgeries antigas ao aprender as novas.
O artigo apresenta uma pipeline forense para detectar adulteração de documentos PDF que raramente deixam rastro visual perceptível a olho nu. Uma primeira camada valida conformidade de formato e sinaliza payloads maliciosos embutidos; uma segunda camada inspeciona metadados, overlays visuais e a consistência entre duas fontes independentes de OCR, consolidando tudo em um score de risco interpretável. A abordagem foi validada em certificados médicos reais de afastamento do trabalho.
O trabalho propõe um framework de análise de malware que não apenas classifica se um programa é malicioso, mas aponta exatamente quais blocos básicos de código são responsáveis por cada comportamento, usando backward slicing a partir de chamadas de API sensíveis e um modelo híbrido Transformer+GNN sobre grafos de dependência. A proposta ataca diretamente a opacidade dos classificadores de malware baseados em aprendizado de máquina, que hoje operam majoritariamente como caixa-preta.
O APTInvestBench avalia agentes baseados em LLM investigando ameaças persistentes avançadas (APTs) em 370 casos derivados de 56 reconstruções de ataques reais, totalizando 16,4 milhões de registros de log, sob sete condições diferentes de coleta de telemetria. Em média, os agentes conseguem reunir evidência suficiente para apenas 44,3% das ações de ataque recuperáveis, mas só 25% dessas conclusões vêm acompanhadas de citação formal a registros específicos — e, ao reduzir a telemetria, boa parte das citações se perde mesmo quando a cobertura aparente dos relatórios muda pouco.
Pesquisadores apresentam o ANCHOR, um sistema que usa LLMs para transformar os alertas brutos de sistemas de detecção de intrusão baseados em proveniência (PIDS) em narrativas de ataque coerentes e organizadas por estágios da kill chain. A ferramenta combina curadoria de evidências com contexto de implantação (linhas de base de comportamento normal do ambiente) e um cache de rastreamento de ataques que mantém o estado da investigação ao longo de múltiplas janelas temporais. Avaliado em seis datasets DARPA Transparent Computing (E3/E5) cobrindo três sistemas operacionais, o sistema melhora a recuperação de indicadores de comprometimento e a atribuição de estágios de ataque em relação a baselines anteriores, a um custo de poucos dólares por dia de auditoria processado.
Pesquisadores apresentam o CyberClear, um benchmark que avalia se agentes baseados em LLM conseguem reconstruir campanhas completas de APT a partir de logs de segurança extensos, gerando grafos de proveniência com entidades, relações causais, técnicas MITRE ATT&CK e evidências forenses. Os sistemas multiagente mais avançados ainda erram bastante na tarefa, o que motivou a proposta de um harness complementar, o CyberProvenance, focado em acumulação de evidências e validação por execução.
O artigo "Hearsay" audita 16 frameworks de agentes de IA implantados e conclui que nenhum produz um registro de execução verificável por um leitor que não estava presente — ou seja, nenhum atende ao padrão que os autores chamam de "evidenciário". Exames feitos por LLMs e por humanos conseguem apontar a falha certa em 74% a 91% dos casos, mas raramente conseguem provar, a partir do próprio log, como a execução de fato ocorreu, e a saída proposta é duplicar o registro com um log externo, somente para acréscimo (append-only) e assinado por hash.
Pesquisadores apresentam o framework DECEIVE e um experimento com eletroencefalografia (EEG) e rastreamento ocular usando o dataset Celeb-DF, descobrindo que não há diferença neurofisiológica mensurável entre a reação de uma pessoa a um vídeo real e a um deepfake. Comportamentalmente, participantes aceitaram como autênticos cerca de 27% dos vídeos manipulados, subindo para 32% quando a identidade era conhecida, o que os autores usam para estabelecer um limite realista de quanto um atacante consegue enganar até mesmo a percepção implícita humana.
Pesquisadores propõem o FARE (Forensic Acceptance Region Estimation), um método para auditar, a partir de uma única imagem, se ela foi realmente produzida pelo modelo generativo que passou por certificação. A motivação é o cenário em que um provedor certifica um gerador de imagens de qualidade e depois o substitui silenciosamente por uma versão mais barata em produção, sem que o cliente ou o auditor percebam. O método usa artefatos forenses característicos de cada gerador para construir uma 'região de aceitação' e, em testes, superou as linhas de base mesmo sob ataques que tentam mascarar a troca.
Pesquisadores testaram, em 17.577 fluxos TLS extraidos de 62 capturas reais de Cobalt Strike, a hipotese comum de que combinar metadados de fluxo com fingerprints de handshake TLS melhora a deteccao de trafego de comando e controle (C2). Ao remover vazamentos de dados presentes em avaliacoes anteriores, encontraram que o ganho real da fusao e minimo e que, sob ataque adversarial, todos os modelos testados perdem para um baseline trivial.
Um estudo acadêmico caracteriza em detalhe o golpe de address poisoning no Ethereum, no qual criminosos poluem o histórico de transações da vítima com endereços visualmente parecidos aos que ela já usou, induzindo o envio futuro de fundos para a carteira do atacante. Os autores propõem cinco famílias de assinaturas operacionais para agrupar endereços golpistas e conduzem a primeira investigação sobre o uso do mixer Tornado Cash tanto para financiar quanto para lavar os recursos obtidos.
Pesquisadores publicaram na Forensic Science International: Digital Investigation (v. 59, dez/2026) o Scalpel3, uma reformulação arquitetural da ferramenta de data carving Scalpel voltada para recuperação de arquivos fragmentados em imagens forenses. O time inclui Golden G. Richard III, um dos criadores da ferramenta original, o que dá continuidade histórica a um dos carvers mais usados em perícia computacional. O foco declarado é desempenho em cenários de fragmentação, um dos problemas mais difíceis do carving clássico.
Um artigo no arXiv apresenta o ALIBI, um ataque que engana ferramentas de triagem de malware baseadas em LLM ao inserir, dentro do próprio binário, uma seção de texto não executável que narra uma justificativa falsa e plausível de produto de segurança legítimo. Sem alterar imports nem comportamento executável, o ataque reduziu drasticamente a taxa de detecção do Gemini 2.5 Pro e provocou quedas relevantes de severidade e confiança até em GPT-5.5 Pro e Claude Opus 4.7.
A revista Forensic Science International: Digital Investigation vai publicar, em seu volume de dezembro de 2026, um artigo de Muhammed Saadetdin Kaya sobre detecção estática de arquivos de atalho (.lnk) maliciosos do Windows que dispensa indicadores específicos de conteúdo — ou seja, não depende de assinaturas de comandos PowerShell, caminhos suspeitos ou payloads embutidos que costumam ser o alvo de detecção tradicional. Não foi possível acessar o texto completo do artigo (bloqueado por paywall da ScienceDirect), então a análise abaixo é contextual, baseada no tema e no problema que o título descreve, sem inventar metodologia ou resultados numéricos que não foram confirmados na fonte.
Pesquisadores apresentam o XSplicer, sistema que reconstrói a correspondência entre transações de origem e destino em pontes cross-chain usando apenas evidências públicas de protocolo. A ferramenta recuperou mais de 1.900 pares de transações do extinto Multichain e identificou 754 transferências ilícitas somando US$ 105,6 milhões no caso de lavagem de dinheiro do Bybit.
O sistema Echo propõe decompilação por correspondência exata: em vez de apenas prever código plausível, ele recompila candidatos e compara o assembly resultante com o binário-alvo, usando essa comparação como guia de busca iterativa. Testado contra o binário do malware Mirai, superou GPT-5.6 e Codex na quantidade de funções recuperadas com correspondência exata.
Pesquisadores demonstram que o tráfego JSON-RPC de agentes de IA usando o Model Context Protocol tem padrão estrutural e temporal parecido com o beaconing de frameworks de C2 como o Cobalt Strike, mas passa ileso por Suricata e pela pontuação comportamental do RITA em todos os cenários testados. Os autores propõem um padrão de indicação nativa para agentes (ALPN dedicado e headers fora de banda) para fechar essa lacuna de visibilidade.
Pesquisadores apresentam o RuleAutoPilot, um framework agentivo que produz regras Suricata implantáveis diretamente a partir de capturas de tráfego malicioso (PCAPs), sem depender de inteligência de ameaças previamente curada. O sistema filtra tráfego benigno conhecido antes de acionar o LLM e usa um ciclo de verificação fundamentado em execução para corrigir regras que falham em sintaxe, não disparam na amostra de origem ou geram falsos positivos.
Um novo framework não supervisionado, o RECAL, ataca um problema pouco discutido em sistemas de detecção de intrusão baseados em proveniência (PIDS): a frequência de tipos de relação em grafos de auditoria pode variar em até 140.000 vezes, fazendo os modelos ignorarem padrões raros e relevantes. Testado nos datasets DARPA Engagement 3, o método reduziu a taxa de falsos positivos em até 105 vezes mantendo F1 acima de 99,9%.
O SEMA-GUARD é um framework que combina análise semântica com redes neurais de grafos para detectar vulnerabilidades em código compilado quando o código-fonte não está disponível — cenário típico de análise de malware, firmware e sistemas embarcados. Ao enriquecer o grafo de fluxo de controle com detalhes de baixo nível (manipulação de pilha, acessos de memória, fluxo de dados), o método atingiu 85,1% de acurácia e F1 de 0,801 em um benchmark derivado do Juliet Test Suite traduzido para assembly.
Pesquisadores testaram agentes autônomos de resposta a incidentes — tanto heurísticos quanto treinados por aprendizado por reforço — em um cyber range com topologia de rede variável, emulação de ataques (red team) e usuários simulados. Os agentes precisam decidir quando isolar ou conter hosts comprometidos sem derrubar serviços legítimos, e os agentes de aprendizado por reforço superaram as heurísticas fixas, embora o desempenho dependa muito do comportamento do adversário e dos usuários simulados.
Pesquisadores testaram 22 modelos de linguagem contra 13 contratos inteligentes construídos deliberadamente para disfarçar mecanismos de drenagem de fundos, em um cenário que simula forense de bytecode em investigações de blockchain. O resultado: técnicas de camuflagem simples derrubaram a taxa de detecção em 20 pontos percentuais, e apenas 5 dos 22 modelos ultrapassaram 50% de acerto.
Pesquisadores propuseram o SENTINEL, um modelo que combina BERT, CNN em nível de caractere, atenção entre comandos e um autoencoder para identificar linhas de comando maliciosas do Windows que abusam de utilitários legítimos (LOTL), técnica usada pela APT Volt Typhoon para permanecer indetectada por mais de 18 meses em infraestrutura crítica dos EUA. O sistema atingiu 92% de acurácia em comandos documentados e 91,2% em variantes ofuscadas, superando uma baseline BERT isolada por quase 20 pontos.
Uma revisao sistematica compara playbooks, LLMs, RAG e agentes autonomos como ferramentas de apoio a decisao para o primeiro respondente de um incidente cibernetico, etapa em que erros procedimentais podem destruir evidencia digital de forma irreversivel. Os autores apontam sistemas baseados em RAG como a opcao mais viavel atualmente, mas alertam que alucinacoes confiantes e alta sensibilidade a formulacao do prompt sao riscos serios em contexto judicial. O trabalho conclui que os benchmarks de ciberseguranca existentes nao avaliam robustez a consultas leigas nem preservacao de cadeia de custodia, propondo um novo padrao de teste voltado especificamente a esse cenario.
O framework Trace2ATT&CK coleta chamadas de sistema em nivel de kernel via eBPF, correlaciona os comandos do atacante em um grafo de proveniencia e usa modelos de linguagem locais, com e sem RAG ancorado na base ATT&CK, para sugerir tecnicas correspondentes com justificativa. Testado em 347 testes do Atomic Red Team em Linux, o RAG superou consistentemente o prompting puro, e representar os eventos como grafo de proveniencia teve desempenho muito superior a usar a telemetria bruta. Por rodar inteiramente com LLMs open-weight locais, a abordagem evita enviar dados sensiveis de telemetria a APIs de terceiros.
Pesquisadores reproduziram, com hardware bem mais modesto que o estudo original, o ataque de forjamento 'Reprompt' contra o esquema de marca d'agua semantica Tree-Ring usado para atestar que uma imagem foi gerada por um modelo de difusao especifico. O ataque conseguiu fazer o detector genuino aceitar como autenticas 5 de 6 imagens forjadas por um atacante que nunca teve acesso a chave de marca d'agua, ao mesmo tempo em que os autores recuperaram uma estatistica que o detector original descartava e que separa melhor imagens forjadas de limpas. O resultado reforca que watermarking de geracao de imagem, hoje um dos pilares propostos para autenticacao de conteudo de IA, nao garante por si so evidencia confiavel de autoria ou autenticidade.
Artigo publicado na Forensic Science International: Digital Investigation (vol. 59) examina como fatores sistêmicos e organizacionais — e não apenas o viés cognitivo individual do perito — influenciam a tomada de decisão em perícia forense digital. Os autores propõem que o chamado 'viés do sistema forense' emerge de estruturas institucionais, pressões processuais e fluxos de trabalho, ampliando o debate além do clássico viés de confirmação do examinador.
O SolTracer é um método acadêmico para rastrear transações cross-chain que entram na Solana via bridges, área em que a ausência de logs de eventos padronizados dificulta investigações de lavagem de fundos ilícitos. O sistema mapeia semânticas heterogêneas de diferentes bridges para um espaço de eventos unificado e usa decisão seletiva para associar transações com maior confiabilidade, superando métodos anteriores em cenários mais difíceis de correlação.
Pesquisadores propõem um framework que usa invariantes estruturais de empacotadores executáveis (packers) para apoiar a atribuição forense de famílias de malware polimórfico entre campanhas distintas. O método foi validado com aprendizado de máquina e busca sinais que sobrevivam à mudança constante de payload entre variantes. O artigo foi publicado na revista Forensic Science International: Digital Investigation (volume 59).
Pesquisadores apresentaram um método de detecção de áudio sintético (deepfake) baseado em coerência temporal: em vez de treinar uma rede profunda de ponta a ponta, eles extraem embeddings de áudio com CLAP, medem a similaridade de cosseno entre segmentos consecutivos e treinam um classificador ensemble leve sobre as estatísticas dessa distribuição. O trabalho cobre fala, música instrumental e música com vocais, mas o achado mais relevante é negativo: 21 das 29 features estatísticas usadas invertem a direção discriminativa entre o treino e o uso em campo, e a entropia chega a discriminar em sentidos opostos para fala e para música.
Um artigo no arXiv descreve um método em nível de aplicativo, usando o framework Core NFC do iOS, para ler cartões de pagamento contactless dos sistemas nacionais HUMO e UZCARD (Uzbequistão) e PRO100 (Rússia/Cazaquistão), extraindo número da conta primária (PAN) e data de validade sem emular o cartão ou autorizar qualquer transação. Os autores mapeiam os AIDs EMV compatíveis com cada rede e implementam um parser híbrido que prioriza campos BER-TLV padrão, recorrendo a offsets fixos legados apenas quando a resposta do cartão não segue a estrutura esperada. O trabalho nasce de uma lacuna real: esses mercados não têm suporte Apple Pay, então a população segue dependente do cartão físico, que se mostra igualmente exposto.
Um novo benchmark, o SCRIPTIOC-BENCH, reúne 634 amostras reais e verificadas manualmente de malware em JavaScript, PowerShell e VBScript para medir a capacidade de LLMs de extrair estaticamente indicadores de comprometimento — URLs, domínios, IPs e artefatos de sistema de arquivos — sem executar o código. O modelo mais forte avaliado atingiu apenas 65,4 de F1, o que mostra que a extração automatizada de IOCs continua não confiável quando os indicadores estão ofuscados ou exigem decodificação, mesmo usando os modelos mais capazes disponíveis.
Pesquisadores publicaram na Forensic Science International: Digital Investigation (vol. 59) um estudo com casos reais de extração de artefatos forenses em impressoras 3D Creality baseadas em Linux, rodando o firmware open-source Klipper. O trabalho endereça uma lacuna pouco explorada na perícia: dispositivos de manufatura aditiva que combinam microcontrolador e uma placa companheira Linux completa.
Pesquisadores apresentam o ICFlowNet, um framework de aprendizado em grafos que recupera arestas de fluxo de controle indireto (chamadas indiretas, tail calls, jump tables e returns) em binários x86-64 sem símbolos de depuração. O trabalho também propõe um protocolo de avaliação mais rigoroso, com deduplicação em nível de função e separação por pacote, para evitar vazamento de dados entre treino e teste, um problema comum na literatura anterior.
Um paper de posicionamento e arquitetura propõe um modelo neutro de fornecedor para registrar, com ancoragem criptográfica em blockchain, comunicações entre agentes de IA, chamadas de ferramentas, aprovações humanas e artefatos de processo, sem colocar conteúdo sensível on-chain. A motivação declarada é um incidente de 2026 envolvendo OpenAI e Hugging Face, e o objetivo é dar suporte a reconstrução de incidentes, auditorias de GRC e conformidade com EU AI Act, NIS2 e o Cyber Resilience Act.
Pesquisadores descrevem um sistema em produção que pontua 835 milhões de endereços em cinco blockchains EVM pela posição estrutural no grafo de transações, em vez de depender apenas de listas de sanções e heurísticas de clustering. Em testes retrospectivos contra 68 eventos reais de designação por órgãos reguladores, o modelo sinalizou 58,8% dos casos dentro de um orçamento de alerta de 0,1%, com mediana de antecedência de 528 dias (Ethereum) e 648 dias (Tron) antes da designação oficial.
Um preprint no arXiv propõe um framework de forense de proveniência para mídia sintética que verifica se uma imagem veio de um gerador específico por meio de um par encoder-decoder que reconstrói a entrada e compara a consistência do resultado, sem exigir marca d'água nem alterar o modelo gerador. A abordagem é apresentada como caminho para evidência interpretável de origem em cenários de plataformas de IA como serviço, mas ainda é um trabalho de pesquisa validado nas condições dos próprios autores.
Um artigo publicado na Forensic Science International: Digital Investigation (v.58) apresenta seis métodos inéditos de ocultação de dados dentro da estrutura interna do Btrfs, incluindo abuso de STRING_ITEMs, e avalia cada um por capacidade, estabilidade e dificuldade de detecção. Os autores, Fergus Toolan e Georgina Humphries, apontam que as ferramentas forenses atuais têm suporte limitado ao Btrfs, o que amplia a janela de uso dessas técnicas como anti-forense em investigações reais.
Artigo aceito na Forensic Science International: Digital Investigation (volume 58, setembro de 2026), assinado por Mahdi Daghmehchi Firoozjaei, MinChang Kim, Hyoungshick Kim, Arash Habibi Lashkari e Ali A. Ghorbani, propõe métodos de extração de características e perfilamento comportamental sobre dados de blockchain para apoiar a análise de transações ilícitas. Os autores fazem parte de grupos de pesquisa reconhecidos em forense digital e análise de tráfego (entre eles o Canadian Institute for Cybersecurity), o que dá peso metodológico ao trabalho. O texto completo está atrás de paywall na ScienceDirect, então a leitura abaixo é contextual, baseada no título, autoria e periódico.
Pesquisadores (Juan Hu, Shaojing Fan, Sanjay Saha, Marc Herrera e Terence Sim) publicaram no arXiv o TaintedPixels, um método de proteção proativa de vídeos faciais que injeta uma marca d'água quase imperceptível no canal azul da imagem. A marca permanece discreta no vídeo original, mas se torna visivelmente perceptível assim que o vídeo passa por uma ferramenta de manipulação facial do tipo caixa-preta, facilitando a identificação humana e automatizada da falsificação. Em teste com 300 vídeos e usuários não especialistas, a taxa de identificação de deepfakes saltou de 56,71% (fonte sem proteção) para 90,72% (fonte protegida).
Pesquisadores propõem um agente que trata a localização de dados pessoais (PII) em bancos SQLite de aplicativos móveis como um problema de busca adaptativa sob incerteza, em vez de varredura exaustiva de todas as tabelas e colunas. Testado no corpus CTF da Cellebrite, com 25 bancos de 10 apps Android e iOS, o método reduziu o espaço de busca em quase 80% mantendo F1 de 94,5% com o Gemini 2.5 Pro, mas mostrou variação relevante entre os 12 modelos avaliados.
Um novo benchmark reprodutível avalia se agentes baseados em LLM conseguem inferir corretamente relacionamentos entre tabelas em bancos SQLite forenses sem documentação, tratando separadamente o sucesso de execução de uma consulta e a correção estrutural da inferência relacional. Usando o banco de SMS do Android e o banco do Snapchat como casos de teste, o estudo mostra que os agentes funcionam bem em esquemas regulares, mas produzem joins plausíveis e executáveis, porém estruturalmente incorretos, à medida que a irregularidade do esquema aumenta.
Pesquisadores apresentam o EGAMA-RC, um framework de triagem de malware para forense de memória que vai além da acurácia bruta de classificação, incorporando calibração de risco, detecção de novidade e roteamento de casos incertos para revisão humana. Em três datasets de malware, o sistema aceitou automaticamente 93,12% das amostras com 99,86% de acurácia nos casos aceitos e taxa de falso-positivo de 0,136%, com inferência rápida via XGBoost (latência sub-milissegundo).
Pesquisadores lançam o Scalpel3, um framework open source de carving de dados projetado para recuperação de arquivos tanto contíguos quanto fragmentados em larga escala, algo que ferramentas clássicas como Foremost, Scalpel v1/2 e PhotoRec não oferecem de forma genérica. A arquitetura abstrai paralelização e I/O, permitindo que novos tipos de arquivo sejam suportados apenas com lógica de validação, e integra classificadores ONNX para apoiar a reconstrução de blocos.
Pesquisadores publicam na Forensic Science International: Digital Investigation um método que usa impressões digitais de sensor extraídas no domínio wavelet para aprimorar a identificação da câmera que capturou uma imagem. A técnica se insere na linha de forense de imagem baseada em ruído de padrão de sensor (PRNU), área central para autenticação de mídia digital em investigações.
Artigo aceito para o volume 58 da Forensic Science International: Digital Investigation (FSI:DI), assinado por Juhyeon Han e Taeshik Shon, propõe mapear os artefatos forenses deixados por três extensões populares de assistentes de IA conversacional para navegador — Monica, Sider e MaxAI. O tema é relevante porque essas extensões processam e armazenam localmente conversas e dados potencialmente sensíveis, fora do escopo tradicional de forense de navegador focado em histórico e cookies.
Publicado na Forensic Science International: Digital Investigation, o artigo propõe uma revisão sistemática das aplicações e técnicas de anti-forense usadas em dispositivos Android, área que ganha relevância à medida que apps de privacidade, wipers e ferramentas de ocultação de dados se tornam mais acessíveis. Não foi possível acessar o texto completo (bloqueio de acesso no ScienceDirect), então a análise abaixo é contextual, baseada no escopo declarado do trabalho e no estado da arte da área, não em achados específicos do artigo.
Publicado no volume 58 (setembro de 2026) da Forensic Science International: Digital Investigation, o artigo "Reasoning about artefact tampering", de Christopher Neale, Ian Kennedy e Bashar Nuseibeh, propõe um enquadramento para raciocinar sistematicamente sobre a possibilidade de um artefato digital ter sido adulterado antes ou durante uma investigação forense.
Pesquisadores portugueses publicam na Forensic Science International: Digital Investigation (v.58) um estudo sobre aquisição e análise de artefatos digitais no sistema de infotainment MIB2 de um Volkswagen Golf Mk7, plataforma amplamente usada em veículos do grupo Volkswagen. O texto completo não pôde ser acessado (bloqueio HTTP 403 do ScienceDirect); a análise abaixo é contextual, baseada no título, nos metadados do periódico e no conhecimento geral sobre forense de sistemas automotivos.
Pesquisadores publicam na Forensic Science International: Digital Investigation (v.58) um framework para identificar contradições entre artefatos digitais coletados durante uma investigação — por exemplo, divergências de timeline entre diferentes fontes de log ou metadados que não deveriam conflitar entre si. O texto completo não pôde ser acessado (bloqueio HTTP 403 do ScienceDirect); a análise a seguir é contextual, com base no título, nos metadados do periódico e no problema geral que esse tipo de framework busca resolver.
Publicado na Forensic Science International: Digital Investigation (v.58, set/2026) por Park, Kim, Kim, Lee e Jeong, o artigo propõe um framework de investigação forense voltado a ambientes DaaS (Desktop-as-a-Service). O tema é relevante porque soluções de desktop virtual em nuvem armazenam estado de sessão e artefatos do usuário em infraestrutura multi-tenant e efêmera, o que rompe premissas da forense tradicional de disco.
Publicado na Forensic Science International: Digital Investigation (v.58, set/2026), o artigo de Junghoon Oh apresenta o Ext4 Log Tracker, uma abordagem para gerar eventos de arquivo (criação, escrita, exclusão) a partir do journal do sistema de arquivos Ext4 — usado amplamente em Android e distribuições Linux. A proposta ataca uma lacuna real de ferramental forense para esse sistema de arquivos.
Pesquisadores publicam na Forensic Science International: Digital Investigation um método para reconciliar diferenças de timestamp entre o controlador e os switches em redes definidas por software (SDN), um problema que compromete a confiabilidade de timelines forenses nesse tipo de ambiente. O artigo (volume 58, setembro de 2026) ataca diretamente a questão de como reconstruir uma linha do tempo de eventos de rede quando a arquitetura distribuída da SDN introduz dessincronização de relógios entre plano de controle e plano de dados.
Publicado no volume 58 da Forensic Science International: Digital Investigation, o artigo de Lee, Yun, Park, Kim e Park propõe uma metodologia estruturada para avaliar a confiabilidade de ferramentas forenses usadas na extração e análise de dados de drones. O trabalho ataca um ponto sensível da área: sem testes padronizados, é difícil garantir que uma ferramenta forense de drone extraia dados de forma completa e não alterada, o que compromete a admissibilidade da evidência em processos judiciais.
Pesquisadores propõem, na Forensic Science International: Digital Investigation, uma arquitetura de microsserviços "forense-pronta" voltada à detecção de crimes cometidos por meio de chats e mensageria, como golpes, assédio e aliciamento. A proposta se insere na linha de forensic readiness, que tenta embutir capacidade de coleta e preservação de evidência diretamente na infraestrutura das aplicações, em vez de depender só de perícia post-mortem.
Pesquisadores publicam na FSI: Digital Investigation um framework para investigar o uso indevido do AnyDesk em sistemas Windows, mapeando artefatos que permitem reconstruir sessões de acesso remoto durante uma perícia. O artigo aborda um problema recorrente em DFIR: diferenciar suporte técnico legítimo de abuso por operadores de ransomware e fraude.
Artigo da FSI: Digital Investigation propõe uma metodologia de perícia digital voltada a robôs quadrúpedes, tratando esses dispositivos como uma nova classe de evidência com sensores, telemetria e conectividade próprios. O tema é emergente à medida que empresas de segurança e forças policiais passam a adotar esse tipo de hardware.
Equipe da Purdue University publica na FSI: Digital Investigation um mapeamento de artefatos forenses recuperáveis do RedNote (Xiaohongshu/"Little Red Book"), rede social chinesa que ganhou grande base de usuários internacional. O trabalho compara o que é extraível nas versões Android e iOS do app.
Artigo cientifico publicado na Forensic Science International: Digital Investigation propoe um modelo de deteccao forense em quatro camadas voltado a identificar quando um suspeito altera deliberadamente seu padrao de escrita em conversas monitoradas -- o chamado 'drift' linguistico adversarial -- para escapar de analises de autoria ou perfilamento estilometrico. O tema se insere na linha de forense linguistica aplicada a evidencia digital de mensageria.
Pesquisadores publicaram na Forensic Science International: Digital Investigation (v.58, set/2026) o AEGIS, um framework voltado à preservação de logs em dispositivos Android capaz de resistir a técnicas anti-forenses. A proposta ataca um problema recorrente na perícia móvel: a volatilidade e a facilidade de adulteração dos registros de sistema e de aplicativo em Android.
Artigo publicado na Forensic Science International: Digital Investigation (volume 58, setembro de 2026) propõe uma análise forense da memória de aplicações web de IA generativa, usando o ChatGPT como estudo de caso. O trabalho investiga quais vestígios de uso — prompts, respostas, tokens de sessão e metadados de conversa — permanecem recuperáveis a partir da memória do navegador e do processo do dispositivo do usuário.
Artigo publicado na Forensic Science International: Digital Investigation propõe um método para rotular endereços de ativos virtuais usando decisões judiciais como fonte de verdade, cruzando esses rótulos com padrões comportamentais on-chain observados em casos de fraude e lavagem de dinheiro. A proposta busca dar mais rigor probatório à atribuição de carteiras a atividades ilícitas, um ponto frequentemente contestado em processos envolvendo criptoativos.
Artigo aceito no periódico Forensic Science International: Digital Investigation (v.58, set/2026) faz um levantamento de artefatos forenses gerados por serviços de IA conversacional e por navegadores com agentes de IA embutidos, comparando múltiplas plataformas. O acesso ao texto completo foi bloqueado pelo ScienceDirect, então os artefatos específicos catalogados não puderam ser confirmados aqui.
Pesquisadores propõem um framework de aquisição forense para ferramentas de colaboração em nuvem baseado em chamadas de API, usando o Slack como estudo de caso. O trabalho, publicado na Forensic Science International: Digital Investigation, ataca um problema crescente: como coletar evidências de plataformas SaaS de mensageria corporativa de forma forense quando não há acesso ao servidor nem à infraestrutura subjacente.
Pesquisadores propõem o TGL-APT, um framework que aplica destilação de grafos de proveniência guiada por 'nós information-bottleneck' para tornar a investigação de ataques APT mais rápida e barata. Em datasets DARPA E3, o método atingiu F1-scores de até 95,7% reduzindo tempo de treinamento, latência de detecção e uso de memória em relação ao estado da arte (KAIROS).
Pesquisa testou a capacidade de 82 profissionais de TI e de seis detectores automáticos pré-treinados em identificar fala sintetizada por três ferramentas de clonagem de voz lançadas em 2019, 2022 e 2024. O F1-score de detecção humana caiu de ~90% nos sintetizadores mais antigos para 48% com o ElevenLabs, e a detecção de manipulações parciais (apenas uma frase trocada em um áudio real) ficou em apenas 9% de acurácia rigorosa.
Pesquisadores tratam a execução de ransomware como um problema de otimização de engenharia de software baseada em busca, usando um algoritmo genético para calibrar a criptografia de arquivos de forma que o desvio estatístico em relação à atividade normal do sistema permaneça mínimo. O resultado são padrões de ataque capazes de escapar de monitores comportamentais e técnicas de fingerprinting, permanecendo ocultos por horas em vez de minutos.
Pré-impressão no arXiv propõe um 'Twelve-Step Process' (TSP) cobrindo toda a investigação forense em ambientes de IoT Industrial, da prontidão forense ao encerramento do caso. Os autores argumentam que metodologias tradicionais de forense digital não lidam bem com a complexidade, escala e heterogeneidade típicas de fábricas, hospitais e sistemas de transporte conectados.
Um novo esquema de watermarking frágil substitui funções hash tradicionais por uma permutação dependente do conteúdo aplicada no nível dos planos de bits, prometendo detectar e localizar adulterações com sensibilidade de bit único. Nos testes dos autores, o método zerou falsos positivos e negativos em 17 de 18 tipos de ataque, incluindo colagem, copy-move e quantização vetorial, com forte apelo declarado para forense de imagem e autenticação de documentos legais.
Um framework de resposta a incidentes combina um LLM ajustado que infere a progressão de ataques multi-estágio com um gêmeo digital da rede que replica o ataque inferido e confronta o resultado com o que foi observado, calibrando a inferência antes de qualquer ação de remediação. Em um testbed corporativo de 33 componentes, a abordagem superou baselines de LLMs de fronteira em 18 a 31 pontos percentuais na taxa de sucesso de recuperação, atacando diretamente o problema de agentes autônomos que alucinam cadeias de ataque inexistentes.
Um novo artigo no arXiv apresenta um pipeline reproduzível para identificar endereços de Bitcoin associados a atividade criminosa a partir de 15 anos de mensagens arquivadas do HackForums, combinando triagem por LLM, revisão de especialistas humanos e validação on-chain. O resultado é um dataset público com 2.438 endereços verificados manualmente, cobrindo o período de 2010 a 2024 e doze categorias de cibercrime.
Pesquisadores analisam as principais abordagens de captura de telemetria de kernel para sistemas de proveniência de segurança, identificando eBPF como a tecnologia mais promissora e classificando oito sistemas de proveniência e cinco agentes de captura existentes. A conclusão mais relevante é preocupante: a maioria dessas ferramentas não consegue garantir integridade nem disponibilidade dos eventos capturados, o que as torna inadequadas para uso forense em produção.
Pesquisadores construíram do zero, com mais de 5.000 horas de trabalho de especialistas em engenharia reversa, um benchmark livre de contaminação com 19 programas privados de escala real e 44 primitivas anti-análise proprietárias, gerando 262 binários e 1.572 tarefas avaliadas de forma determinística. O modelo mais forte testado resolveu completamente apenas 31,5% das instâncias, evidenciando que a forte capacidade de LLMs em análise de código-fonte não se transfere para análise binária.
Pesquisadores demonstraram, pela primeira vez, a recuperação completa dos dados do Event Data Recorder (EDR) de um módulo de airbag (SRS) cujo processador e chip de memória Flash EEPROM foram fisicamente destruídos por sobretensão, com temperaturas locais acima de 3000°C. Usando técnicas de preparação de amostra e imageamento por microscopia eletrônica de varredura (SEM), extraíram 100% dos dados sem perda de um único bit, permitindo gerar um relatório EDR completo via CrashScan para reconstrução de acidente.
Um artigo acadêmico propõe reformular a saída de detectores de deepfake como um "score de confiança calibrado" em vez de uma simples probabilidade bruta, expondo um acoplamento quase perfeito entre a descalibração do detector e sua competência discriminativa. Os autores mostram que calibradores comuns (isotônico, Platt, beta) falham exatamente nos casos de baixa competência que mais interessam a pipelines de moderação e verificação de mídia, e propõem um método sem rótulos para sinalizar essa degradação.
Um novo artigo no arXiv propõe uma gramática estrutural para decompor ataques de prompt injection em sete campos (carrier, delivery vector, concealment, context-break, privilege escalation, payload e return channel), em vez de tratá-los como strings isoladas. O framework é validado com um estudo de caso real, o incidente EchoLeak (CVE-2025-32711), e mira equipes de CTI e red team que precisam catalogar e comparar variantes de ataque. A proposta busca preencher uma lacuna que hoje força analistas a depender de correspondência frágil de texto para rastrear campanhas.
Pesquisadores apresentam o STAIR, um framework que substitui playbooks estáticos de resposta a incidentes por um sistema de agentes de LLM que mantém o estado do incidente como grafo, roteia decisões para agentes especializados por estágio e reutiliza experiências anteriores. Testado em 100 cyber ranges baseados em Docker, o sistema atingiu um score de defesa normalizado de 0,94, superando em 9,5% a melhor linha de base. O trabalho é relevante para equipes de IR que buscam automação capaz de se adaptar a um incidente em evolução, e não apenas seguir um roteiro fixo.
Um estudo acadêmico decompõe o tráfego cifrado de quatro redes de anonimato em descritores de controle, estrutura e ritmo para medir quanto cada um vaza sobre o tipo de serviço sendo usado, sem decifrar o conteúdo. Tor se mostrou a rede mais "identificável" por esses padrões comportamentais, enquanto FreeNet foi a mais resistente. O achado tem aplicação direta em forense de rede voltada à investigação de atividade em darknets.
Pesquisadores treinaram um transformer cross-modal sobre mais de 20 anos de histórico de commits do kernel Linux para criar um espaço estilométrico unificado capaz de verificar autoria em nível de patch. O detector, aplicado retrospectivamente e sem retreino aos incidentes reais do backdoor no PHP (2021) e da campanha ForceMemo/GlassWorm (2026), conseguiu isolar os commits forjados dentro de uma fração mínima da fila de auditoria dos mantenedores.
Um novo benchmark com 97.548 vídeos gerados por modelos recentes avalia oito detectores de deepfake em nível de vídeo e doze em nível de imagem, mostrando que os detectores de imagem já rivalizam com os de vídeo (80,16% vs 79,99% de AUC). Os autores propõem o IV-Bridge, um agregador estatístico baseado em random forest que combina previsões quadro a quadro e eleva a acurácia para até 93,80% de AUC.
Um estudo acadêmico conduziu um survey com 101 profissionais do judiciário de Renânia do Norte-Vestfália (Alemanha) — promotores, juízes e peritos forenses — para investigar como a forense digital funciona na prática dentro do processo penal. Os resultados apontam forte demanda por melhor integração da forense digital aos fluxos de trabalho judiciais e desalinhamento de expectativas entre atores técnicos e jurídicos.
Um estudo longitudinal em arXiv desenvolveu filtros heurísticos para detectar transações Bitcoin que usam protocolos de anonimização de segunda geração — CoinJoin, CoinSwap, CoinShuffle e Stealth Addresses — identificando 5,94 milhões de transações CoinJoin e 23,3 milhões de CoinSwap. Apesar dos volumes absolutos altos, a adoção representa menos de 1% do total de transações da rede, com queda acentuada após eventos regulatórios e nenhuma convergência para um padrão único de Stealth Address.
Pesquisadores propõem o SubCASP, um método baseado em Modelos Ocultos de Markov (HMM) que funde logs de múltiplos IDS para inferir em que fase de um ataque uma subestação digital IEC 61850 se encontra, prever o próximo passo do adversário e reconstruir o caminho retrospectivo do ataque. O diferencial é justamente essa reconstrução retrospectiva, que é essencialmente uma tarefa de investigação forense de intrusão em ambiente de tecnologia operacional (OT).
Um estudo (atualizado para v4) reconstrói forensicamente a campanha de mineração de 2025 em que a Qubic afirmou ter executado um 'ataque de 51%' e mineração egoísta contra a Monero. Cruzando medições de nós da rede Monero, observações do pool da Qubic, artefatos compartilhados pela comunidade e chaves de visualização (view keys) divulgadas, os autores atribuem blocos e identificam janelas de retenção, concluindo que não houve controle majoritário sustentado nem vantagem de recompensa sobre a mineração honesta.
Pesquisadores propuseram o (EC)2, um framework multi-agente baseado em LLMs que realiza investigacao estruturada e guiada por hipoteses para explicar alertas de deteccao de anomalias em centros de operacoes de seguranca (SOC), voltado principalmente a pequenas e medias empresas. A proposta busca ir alem de explicacoes de features isoladas, entregando ao analista contexto acionavel sobre entidades e relacoes envolvidas no alerta.
Pesquisadores construíram manualmente um dataset com 150 relatórios de cyber threat intelligence representados como grafos STIX 2.1, totalizando 4.777 entidades e 5.817 relações, com 1.273 padrões de ataque mapeados para 269 técnicas e subtécnicas do MITRE ATT&CK Enterprise. O trabalho também avalia se LLMs locais conseguem atuar como "juízes" automatizados na extração dessas informações, comparando-os a um gabarito validado por dois pesquisadores humanos.
Pesquisadores propõem o EXP-SEC, um framework que explica por que um sistema de detecção de intrusão baseado em deep learning (NIDS) disparou um alerta, incluindo um módulo forense que isola o pacote ou fluxo de tráfego suspeito por trás da decisão. A motivação é prática: modelos de deep learning para detecção de intrusão são precisos, mas funcionam como caixa-preta, e analistas de SOC precisam de explicações acionáveis, não só de um score de confiança.
Artigo publicado na Forensic Science International: Digital Investigation propõe o DarkCatalog, um framework para coleta forense de dados em hidden services da rede Tor que não depende de parsers HTML tradicionais. Não foi possível acessar o texto completo (o ScienceDirect bloqueou a coleta automatizada), então a análise abaixo é contextual, baseada no título e no tema geral do trabalho.
Publicado na Forensic Science International: Digital Investigation, o artigo de Stephin Paul propõe uma análise empírica sobre lacunas de visibilidade forense em incidentes de malware fileless, medindo quanto tempo diferentes tipos de artefato sobrevivem após 49 intrusões confirmadas. Não foi possível acessar o texto completo (bloqueio HTTP 403 da ScienceDirect); a análise a seguir é contextual, baseada no título e tema do trabalho.
Artigo da Forensic Science International: Digital Investigation apresenta uma abordagem de grafos com múltiplas visões (multi-view) para analisar a estrutura da dark web. O texto completo não pôde ser acessado (bloqueio da ScienceDirect); a análise abaixo é contextual, baseada no título e no tema geral da pesquisa.
Martin S. Olivier publica na Forensic Science International: Digital Investigation um estudo sobre classificação de documentos PDF questionados, buscando atribuir um PDF ao software que o gerou. O acesso ao texto completo foi bloqueado pela ScienceDirect; a análise a seguir é contextual, baseada no título e no tema do trabalho.
Dilpreet Kaur Gill e Erisa Karafili propõem, na Forensic Science International: Digital Investigation, uma ontologia para estruturar o processo de atribuição e investigação de ciberataques. O texto completo não pôde ser acessado (bloqueio da ScienceDirect); a análise abaixo é contextual, baseada no título e no tema geral do trabalho.
Pesquisadores alemães publicam na Forensic Science International: Digital Investigation um estudo sobre geração automatizada, com apoio de IA, de consultas SQL para bancos de dados SQLite extraídos de dispositivos móveis. O acesso ao texto completo foi bloqueado pela ScienceDirect; a análise a seguir é contextual, baseada no título e no tema do trabalho.
Cifha Crecil Dias e Vidya Rao apresentam, na Forensic Science International: Digital Investigation, um framework de análise forense voltado a tráfego de rede de dispositivos IoMT (Internet das Coisas Médicas), combinando reconstrução temporal e perfilamento de artefatos. O texto completo não pôde ser acessado (bloqueio da ScienceDirect); a análise abaixo é contextual, baseada no título e no tema geral do trabalho.
Pesquisadores publicaram na Forensic Science International: Digital Investigation um estudo sobre um framework hibrido baseado em MobileNet para identificacao da camera de origem (source camera identification) a partir de videos, tema classico de forense de midia aplicado a autenticacao de conteudo digital. O trabalho e relevante para casos de verificacao de proveniencia de video em investigacoes.
Mark Scanlon, pesquisador de referencia em forense digital, publicou na Forensic Science International: Digital Investigation um artigo sobre como investigar LLMs, sistemas de IA generativa e plataformas de IA proprietaria do ponto de vista pericial -- discutindo evidencia digital, prontidao investigativa (forensic readiness) e o cenario regulatorio em torno dessas ferramentas. O tema aborda diretamente uma lacuna pratica: como peritos devem tratar rastros deixados por assistentes de IA em investigacoes.
Um estudo de caso na Forensic Science International: Digital Investigation descreve a validação forense de uma técnica de fault injection para restaurar acesso a um chip eMMC travado pelo comando CMD42 de proteção permanente contra escrita. O trabalho é relevante para casos em que o dispositivo físico está bloqueado e as ferramentas forenses convencionais não conseguem acessar a memória flash diretamente.
Um artigo da Forensic Science International: Digital Investigation examina, em estudo de caso, como metadados gerados pelo recurso de reconhecimento facial Visual ID da Amazon podem ser usados como evidência corroborativa em investigações. O tema se soma a uma linha crescente de pesquisa sobre artefatos de nuvem de dispositivos residenciais inteligentes (como campainhas Ring) como fonte de prova digital.
Um artigo da Forensic Science International: Digital Investigation propõe correlacionar a identidade de um piloto com a de um drone específico a partir de dados extraídos da plataforma em nuvem da DJI. A abordagem complementa os métodos já estabelecidos de extração local de logs de voo, sendo especialmente útil quando o dispositivo físico não está disponível para exame.
Publicado na Forensic Science International: Digital Investigation, o artigo de Edson OliveiraJr discute os desafios metodológicos de conduzir experimentos controlados e reprodutíveis em pesquisa de forense digital, propondo princípios e uma agenda de pesquisa para tornar a área mais rigorosa cientificamente.
Publicado na Forensic Science International: Digital Investigation, o case note de Lukas Jaeckel e Dirk Labudde examina os desafios periciais e legais que surgem quando material de abuso sexual infantil sintético — gerado ou editado por IA — aparece em contextos de jogos eletrônicos, como conteúdo gerado por usuário, mods ou avatares.
Artigo de Minjung Yoo, Seunghyun Park e Seongmin Kim, publicado na Forensic Science International: Digital Investigation, propõe uma metodologia de análise forense dos artefatos gerados pelo recurso Call & Message Continuity (CMC) da Samsung — que espelha chamadas e mensagens entre smartphone e dispositivos companheiros — como fonte de evidência para investigar golpes de voice phishing (vishing).
Odin Heitmann e Jan William Johnsen revisitam, na Forensic Science International: Digital Investigation, o processo investigativo por trás do ataque de ransomware LockerGoga que paralisou a Norsk Hydro em 2019, extraindo lições práticas sobre resposta a incidentes e investigação de cibercrime em larga escala.
Artigo na FSI: Digital Investigation propõe um modelo de ML desenhado para gerar saídas defensáveis em investigações — não apenas alertas de triagem — na classificação multi-classe de ameaças por e-mail, treinado sobre um dataset sintético de alta fidelidade. A proposta busca conciliar detecção automatizada com requisitos de evidência pericial.
Pesquisadores espanhóis propõem, na FSI: Digital Investigation, uma taxonomia estendida para classificar fóruns de criptomoedas P2P na dark web, construída de forma iterativa. O objetivo é padronizar como investigadores de crimes financeiros e OSINT categorizam esses fóruns, hoje feito de maneira majoritariamente artesanal.
Artigo da FSI: Digital Investigation explora backups Android com permissões privilegiadas de fabricante como fonte alternativa de evidência em investigações de smart home, usando uma abordagem baseada em emulação. A proposta ataca um problema comum: o dispositivo IoT físico muitas vezes não está mais disponível para perícia.
Artigo publicado no Journal of Digital Forensics, Security and Law (JDFSL) apresenta o SynFO (Synthetic Forensic Omnituens), ferramenta que combina Python, Go e as bibliotecas dlib/face-recognition para automatizar aquisição, extração de arquivos relevantes e triagem inicial de evidência via reconhecimento facial em imagens e vídeos. A proposta ataca diretamente o acúmulo de casos pendentes em laboratórios forenses com poucos peritos disponíveis.
Publicado no Journal of Digital Forensics, Security and Law (JDFSL), o estudo propõe uma metodologia de conformance testing — baseada em asserções e casos de teste formais — para comparar objetivamente ferramentas de análise forense de imagens, aplicando-a a FotoForensics, Ghiro, Imago Forensics e Exif Reader. O trabalho nasce da dificuldade prática de escolher entre ferramentas de detecção de manipulação de imagem sem um critério padronizado de avaliação.
Artigo publicado no Journal of Digital Forensics, Security and Law (JDFSL) apresenta um plugin para o Tor Browser e uma infraestrutura de servidor central que permitem a investigadores anotar, coletar e compartilhar conteúdo da dark web preservando a solidez forense dos dados, com o dataset resultante usado para treinar classificadores de machine learning que atingiram entre 85% e 96% de acurácia em validação cruzada de cinco dobras.
Publicado no Journal of Digital Forensics, Security and Law, o estudo entrevistou 78 adultos previamente condenados por posse ou consumo de material de exploração sexual infantil (CSEM) nos EUA, mapeando quais tecnologias usaram para acessar o conteúdo, como migraram entre plataformas e em que medida adotaram contramedidas técnicas. Os achados têm aplicação direta para investigadores digitais que precisam priorizar vetores de coleta de evidência e entender o comportamento típico desse perfil de ofensor.
Publicado no Journal of Digital Forensics, Security and Law (JDFSL), o estudo testou cinco aplicativos de 'cofre' (vault) para ocultar fotos no iOS usando três kits forenses distintos. Todos os cinco apps deixaram evidência recuperável no dispositivo, e as ferramentas forenses divergiram entre si nos resultados dos escaneamentos, revelando que a suposta proteção desses apps é baseada em ofuscação simples, não em controles de segurança reais.
Publicado no Journal of Digital Forensics, Security and Law, o artigo analisa um ataque de phishing real direcionado a clientes de internet banking, documentando como o site falso foi construído e como as informações do atacante puderam ser rastreadas. O trabalho reforça que, apesar da engenharia social continuar eficaz por explorar urgência e pânico, a infraestrutura por trás de campanhas de phishing deixa rastros investigáveis.
Pesquisadores da University of Alabama in Huntsville publicam no Journal of Digital Forensics, Security and Law um panorama das arquiteturas de hardware e software de dispositivos IoT e do impacto dessa diversidade sobre investigações forenses. O artigo argumenta que a falta de padrões amplamente aceitos para extração de dados de dispositivos IoT heterogêneos é a principal barreira metodológica enfrentada por investigadores hoje.
Um estudo publicado no Journal of Digital Forensics, Security and Law ouviu promotores e magistrados da Polônia sobre as dificuldades práticas de obter evidência armazenada em nuvem fora do país. Os entrevistados apontam cooperação internacional lenta, adesão voluntária de provedores estrangeiros, ausência de procedimentos harmonizados e lacunas de conhecimento entre operadores do sistema de justiça como os principais obstáculos.
Um artigo do Journal of Digital Forensics, Security and Law propõe um framework de Digital Forensic Readiness para ambientes de BYOD, combinando honeypots de baixa e alta interação com gestão de dispositivos, operações criptográficas e uma base de políticas, alinhado à norma ISO/IEC 27043. A proposta busca detectar incidentes e preservar evidência potencial antes mesmo de uma investigação formal ser aberta.