Pesquisadores apresentaram um método de detecção de áudio sintético (deepfake) baseado em coerência temporal: em vez de treinar uma rede profunda de ponta a ponta, eles extraem embeddings de áudio com CLAP, medem a similaridade de cosseno entre segmentos consecutivos e treinam um classificador ensemble leve sobre as estatísticas dessa distribuição. O trabalho cobre fala, música instrumental e música com vocais, mas o achado mais relevante é negativo: 21 das 29 features estatísticas usadas invertem a direção discriminativa entre o treino e o uso em campo, e a entropia chega a discriminar em sentidos opostos para fala e para música.
Um artigo no arXiv descreve um método em nível de aplicativo, usando o framework Core NFC do iOS, para ler cartões de pagamento contactless dos sistemas nacionais HUMO e UZCARD (Uzbequistão) e PRO100 (Rússia/Cazaquistão), extraindo número da conta primária (PAN) e data de validade sem emular o cartão ou autorizar qualquer transação. Os autores mapeiam os AIDs EMV compatíveis com cada rede e implementam um parser híbrido que prioriza campos BER-TLV padrão, recorrendo a offsets fixos legados apenas quando a resposta do cartão não segue a estrutura esperada. O trabalho nasce de uma lacuna real: esses mercados não têm suporte Apple Pay, então a população segue dependente do cartão físico, que se mostra igualmente exposto.
Um novo benchmark, o SCRIPTIOC-BENCH, reúne 634 amostras reais e verificadas manualmente de malware em JavaScript, PowerShell e VBScript para medir a capacidade de LLMs de extrair estaticamente indicadores de comprometimento — URLs, domínios, IPs e artefatos de sistema de arquivos — sem executar o código. O modelo mais forte avaliado atingiu apenas 65,4 de F1, o que mostra que a extração automatizada de IOCs continua não confiável quando os indicadores estão ofuscados ou exigem decodificação, mesmo usando os modelos mais capazes disponíveis.
Pesquisadores publicaram na Forensic Science International: Digital Investigation (vol. 59) um estudo com casos reais de extração de artefatos forenses em impressoras 3D Creality baseadas em Linux, rodando o firmware open-source Klipper. O trabalho endereça uma lacuna pouco explorada na perícia: dispositivos de manufatura aditiva que combinam microcontrolador e uma placa companheira Linux completa.
Pesquisadores apresentam o ICFlowNet, um framework de aprendizado em grafos que recupera arestas de fluxo de controle indireto (chamadas indiretas, tail calls, jump tables e returns) em binários x86-64 sem símbolos de depuração. O trabalho também propõe um protocolo de avaliação mais rigoroso, com deduplicação em nível de função e separação por pacote, para evitar vazamento de dados entre treino e teste, um problema comum na literatura anterior.
Um paper de posicionamento e arquitetura propõe um modelo neutro de fornecedor para registrar, com ancoragem criptográfica em blockchain, comunicações entre agentes de IA, chamadas de ferramentas, aprovações humanas e artefatos de processo, sem colocar conteúdo sensível on-chain. A motivação declarada é um incidente de 2026 envolvendo OpenAI e Hugging Face, e o objetivo é dar suporte a reconstrução de incidentes, auditorias de GRC e conformidade com EU AI Act, NIS2 e o Cyber Resilience Act.
Pesquisadores descrevem um sistema em produção que pontua 835 milhões de endereços em cinco blockchains EVM pela posição estrutural no grafo de transações, em vez de depender apenas de listas de sanções e heurísticas de clustering. Em testes retrospectivos contra 68 eventos reais de designação por órgãos reguladores, o modelo sinalizou 58,8% dos casos dentro de um orçamento de alerta de 0,1%, com mediana de antecedência de 528 dias (Ethereum) e 648 dias (Tron) antes da designação oficial.
Um preprint no arXiv propõe um framework de forense de proveniência para mídia sintética que verifica se uma imagem veio de um gerador específico por meio de um par encoder-decoder que reconstrói a entrada e compara a consistência do resultado, sem exigir marca d'água nem alterar o modelo gerador. A abordagem é apresentada como caminho para evidência interpretável de origem em cenários de plataformas de IA como serviço, mas ainda é um trabalho de pesquisa validado nas condições dos próprios autores.
Um artigo publicado na Forensic Science International: Digital Investigation (v.58) apresenta seis métodos inéditos de ocultação de dados dentro da estrutura interna do Btrfs, incluindo abuso de STRING_ITEMs, e avalia cada um por capacidade, estabilidade e dificuldade de detecção. Os autores, Fergus Toolan e Georgina Humphries, apontam que as ferramentas forenses atuais têm suporte limitado ao Btrfs, o que amplia a janela de uso dessas técnicas como anti-forense em investigações reais.
Artigo aceito na Forensic Science International: Digital Investigation (volume 58, setembro de 2026), assinado por Mahdi Daghmehchi Firoozjaei, MinChang Kim, Hyoungshick Kim, Arash Habibi Lashkari e Ali A. Ghorbani, propõe métodos de extração de características e perfilamento comportamental sobre dados de blockchain para apoiar a análise de transações ilícitas. Os autores fazem parte de grupos de pesquisa reconhecidos em forense digital e análise de tráfego (entre eles o Canadian Institute for Cybersecurity), o que dá peso metodológico ao trabalho. O texto completo está atrás de paywall na ScienceDirect, então a leitura abaixo é contextual, baseada no título, autoria e periódico.
Pesquisadores (Juan Hu, Shaojing Fan, Sanjay Saha, Marc Herrera e Terence Sim) publicaram no arXiv o TaintedPixels, um método de proteção proativa de vídeos faciais que injeta uma marca d'água quase imperceptível no canal azul da imagem. A marca permanece discreta no vídeo original, mas se torna visivelmente perceptível assim que o vídeo passa por uma ferramenta de manipulação facial do tipo caixa-preta, facilitando a identificação humana e automatizada da falsificação. Em teste com 300 vídeos e usuários não especialistas, a taxa de identificação de deepfakes saltou de 56,71% (fonte sem proteção) para 90,72% (fonte protegida).
Pesquisadores propõem um agente que trata a localização de dados pessoais (PII) em bancos SQLite de aplicativos móveis como um problema de busca adaptativa sob incerteza, em vez de varredura exaustiva de todas as tabelas e colunas. Testado no corpus CTF da Cellebrite, com 25 bancos de 10 apps Android e iOS, o método reduziu o espaço de busca em quase 80% mantendo F1 de 94,5% com o Gemini 2.5 Pro, mas mostrou variação relevante entre os 12 modelos avaliados.
Um novo benchmark reprodutível avalia se agentes baseados em LLM conseguem inferir corretamente relacionamentos entre tabelas em bancos SQLite forenses sem documentação, tratando separadamente o sucesso de execução de uma consulta e a correção estrutural da inferência relacional. Usando o banco de SMS do Android e o banco do Snapchat como casos de teste, o estudo mostra que os agentes funcionam bem em esquemas regulares, mas produzem joins plausíveis e executáveis, porém estruturalmente incorretos, à medida que a irregularidade do esquema aumenta.
Pesquisadores apresentam o EGAMA-RC, um framework de triagem de malware para forense de memória que vai além da acurácia bruta de classificação, incorporando calibração de risco, detecção de novidade e roteamento de casos incertos para revisão humana. Em três datasets de malware, o sistema aceitou automaticamente 93,12% das amostras com 99,86% de acurácia nos casos aceitos e taxa de falso-positivo de 0,136%, com inferência rápida via XGBoost (latência sub-milissegundo).
Pesquisadores lançam o Scalpel3, um framework open source de carving de dados projetado para recuperação de arquivos tanto contíguos quanto fragmentados em larga escala, algo que ferramentas clássicas como Foremost, Scalpel v1/2 e PhotoRec não oferecem de forma genérica. A arquitetura abstrai paralelização e I/O, permitindo que novos tipos de arquivo sejam suportados apenas com lógica de validação, e integra classificadores ONNX para apoiar a reconstrução de blocos.
Pesquisadores publicam na Forensic Science International: Digital Investigation um método que usa impressões digitais de sensor extraídas no domínio wavelet para aprimorar a identificação da câmera que capturou uma imagem. A técnica se insere na linha de forense de imagem baseada em ruído de padrão de sensor (PRNU), área central para autenticação de mídia digital em investigações.
Artigo aceito para o volume 58 da Forensic Science International: Digital Investigation (FSI:DI), assinado por Juhyeon Han e Taeshik Shon, propõe mapear os artefatos forenses deixados por três extensões populares de assistentes de IA conversacional para navegador — Monica, Sider e MaxAI. O tema é relevante porque essas extensões processam e armazenam localmente conversas e dados potencialmente sensíveis, fora do escopo tradicional de forense de navegador focado em histórico e cookies.
Publicado na Forensic Science International: Digital Investigation, o artigo propõe uma revisão sistemática das aplicações e técnicas de anti-forense usadas em dispositivos Android, área que ganha relevância à medida que apps de privacidade, wipers e ferramentas de ocultação de dados se tornam mais acessíveis. Não foi possível acessar o texto completo (bloqueio de acesso no ScienceDirect), então a análise abaixo é contextual, baseada no escopo declarado do trabalho e no estado da arte da área, não em achados específicos do artigo.
Publicado no volume 58 (setembro de 2026) da Forensic Science International: Digital Investigation, o artigo "Reasoning about artefact tampering", de Christopher Neale, Ian Kennedy e Bashar Nuseibeh, propõe um enquadramento para raciocinar sistematicamente sobre a possibilidade de um artefato digital ter sido adulterado antes ou durante uma investigação forense.
Pesquisadores portugueses publicam na Forensic Science International: Digital Investigation (v.58) um estudo sobre aquisição e análise de artefatos digitais no sistema de infotainment MIB2 de um Volkswagen Golf Mk7, plataforma amplamente usada em veículos do grupo Volkswagen. O texto completo não pôde ser acessado (bloqueio HTTP 403 do ScienceDirect); a análise abaixo é contextual, baseada no título, nos metadados do periódico e no conhecimento geral sobre forense de sistemas automotivos.
Pesquisadores publicam na Forensic Science International: Digital Investigation (v.58) um framework para identificar contradições entre artefatos digitais coletados durante uma investigação — por exemplo, divergências de timeline entre diferentes fontes de log ou metadados que não deveriam conflitar entre si. O texto completo não pôde ser acessado (bloqueio HTTP 403 do ScienceDirect); a análise a seguir é contextual, com base no título, nos metadados do periódico e no problema geral que esse tipo de framework busca resolver.
Publicado na Forensic Science International: Digital Investigation (v.58, set/2026) por Park, Kim, Kim, Lee e Jeong, o artigo propõe um framework de investigação forense voltado a ambientes DaaS (Desktop-as-a-Service). O tema é relevante porque soluções de desktop virtual em nuvem armazenam estado de sessão e artefatos do usuário em infraestrutura multi-tenant e efêmera, o que rompe premissas da forense tradicional de disco.
Publicado na Forensic Science International: Digital Investigation (v.58, set/2026), o artigo de Junghoon Oh apresenta o Ext4 Log Tracker, uma abordagem para gerar eventos de arquivo (criação, escrita, exclusão) a partir do journal do sistema de arquivos Ext4 — usado amplamente em Android e distribuições Linux. A proposta ataca uma lacuna real de ferramental forense para esse sistema de arquivos.
Pesquisadores publicam na Forensic Science International: Digital Investigation um método para reconciliar diferenças de timestamp entre o controlador e os switches em redes definidas por software (SDN), um problema que compromete a confiabilidade de timelines forenses nesse tipo de ambiente. O artigo (volume 58, setembro de 2026) ataca diretamente a questão de como reconstruir uma linha do tempo de eventos de rede quando a arquitetura distribuída da SDN introduz dessincronização de relógios entre plano de controle e plano de dados.
Publicado no volume 58 da Forensic Science International: Digital Investigation, o artigo de Lee, Yun, Park, Kim e Park propõe uma metodologia estruturada para avaliar a confiabilidade de ferramentas forenses usadas na extração e análise de dados de drones. O trabalho ataca um ponto sensível da área: sem testes padronizados, é difícil garantir que uma ferramenta forense de drone extraia dados de forma completa e não alterada, o que compromete a admissibilidade da evidência em processos judiciais.
Pesquisadores propõem, na Forensic Science International: Digital Investigation, uma arquitetura de microsserviços "forense-pronta" voltada à detecção de crimes cometidos por meio de chats e mensageria, como golpes, assédio e aliciamento. A proposta se insere na linha de forensic readiness, que tenta embutir capacidade de coleta e preservação de evidência diretamente na infraestrutura das aplicações, em vez de depender só de perícia post-mortem.
Pesquisadores publicam na FSI: Digital Investigation um framework para investigar o uso indevido do AnyDesk em sistemas Windows, mapeando artefatos que permitem reconstruir sessões de acesso remoto durante uma perícia. O artigo aborda um problema recorrente em DFIR: diferenciar suporte técnico legítimo de abuso por operadores de ransomware e fraude.
Artigo da FSI: Digital Investigation propõe uma metodologia de perícia digital voltada a robôs quadrúpedes, tratando esses dispositivos como uma nova classe de evidência com sensores, telemetria e conectividade próprios. O tema é emergente à medida que empresas de segurança e forças policiais passam a adotar esse tipo de hardware.
Equipe da Purdue University publica na FSI: Digital Investigation um mapeamento de artefatos forenses recuperáveis do RedNote (Xiaohongshu/"Little Red Book"), rede social chinesa que ganhou grande base de usuários internacional. O trabalho compara o que é extraível nas versões Android e iOS do app.
Artigo cientifico publicado na Forensic Science International: Digital Investigation propoe um modelo de deteccao forense em quatro camadas voltado a identificar quando um suspeito altera deliberadamente seu padrao de escrita em conversas monitoradas -- o chamado 'drift' linguistico adversarial -- para escapar de analises de autoria ou perfilamento estilometrico. O tema se insere na linha de forense linguistica aplicada a evidencia digital de mensageria.
Pesquisadores publicaram na Forensic Science International: Digital Investigation (v.58, set/2026) o AEGIS, um framework voltado à preservação de logs em dispositivos Android capaz de resistir a técnicas anti-forenses. A proposta ataca um problema recorrente na perícia móvel: a volatilidade e a facilidade de adulteração dos registros de sistema e de aplicativo em Android.
Artigo publicado na Forensic Science International: Digital Investigation (volume 58, setembro de 2026) propõe uma análise forense da memória de aplicações web de IA generativa, usando o ChatGPT como estudo de caso. O trabalho investiga quais vestígios de uso — prompts, respostas, tokens de sessão e metadados de conversa — permanecem recuperáveis a partir da memória do navegador e do processo do dispositivo do usuário.
Artigo publicado na Forensic Science International: Digital Investigation propõe um método para rotular endereços de ativos virtuais usando decisões judiciais como fonte de verdade, cruzando esses rótulos com padrões comportamentais on-chain observados em casos de fraude e lavagem de dinheiro. A proposta busca dar mais rigor probatório à atribuição de carteiras a atividades ilícitas, um ponto frequentemente contestado em processos envolvendo criptoativos.
Artigo aceito no periódico Forensic Science International: Digital Investigation (v.58, set/2026) faz um levantamento de artefatos forenses gerados por serviços de IA conversacional e por navegadores com agentes de IA embutidos, comparando múltiplas plataformas. O acesso ao texto completo foi bloqueado pelo ScienceDirect, então os artefatos específicos catalogados não puderam ser confirmados aqui.
Pesquisadores propõem um framework de aquisição forense para ferramentas de colaboração em nuvem baseado em chamadas de API, usando o Slack como estudo de caso. O trabalho, publicado na Forensic Science International: Digital Investigation, ataca um problema crescente: como coletar evidências de plataformas SaaS de mensageria corporativa de forma forense quando não há acesso ao servidor nem à infraestrutura subjacente.
Pesquisadores propõem o TGL-APT, um framework que aplica destilação de grafos de proveniência guiada por 'nós information-bottleneck' para tornar a investigação de ataques APT mais rápida e barata. Em datasets DARPA E3, o método atingiu F1-scores de até 95,7% reduzindo tempo de treinamento, latência de detecção e uso de memória em relação ao estado da arte (KAIROS).
Pesquisa testou a capacidade de 82 profissionais de TI e de seis detectores automáticos pré-treinados em identificar fala sintetizada por três ferramentas de clonagem de voz lançadas em 2019, 2022 e 2024. O F1-score de detecção humana caiu de ~90% nos sintetizadores mais antigos para 48% com o ElevenLabs, e a detecção de manipulações parciais (apenas uma frase trocada em um áudio real) ficou em apenas 9% de acurácia rigorosa.
Pesquisadores tratam a execução de ransomware como um problema de otimização de engenharia de software baseada em busca, usando um algoritmo genético para calibrar a criptografia de arquivos de forma que o desvio estatístico em relação à atividade normal do sistema permaneça mínimo. O resultado são padrões de ataque capazes de escapar de monitores comportamentais e técnicas de fingerprinting, permanecendo ocultos por horas em vez de minutos.
Pré-impressão no arXiv propõe um 'Twelve-Step Process' (TSP) cobrindo toda a investigação forense em ambientes de IoT Industrial, da prontidão forense ao encerramento do caso. Os autores argumentam que metodologias tradicionais de forense digital não lidam bem com a complexidade, escala e heterogeneidade típicas de fábricas, hospitais e sistemas de transporte conectados.
Um novo esquema de watermarking frágil substitui funções hash tradicionais por uma permutação dependente do conteúdo aplicada no nível dos planos de bits, prometendo detectar e localizar adulterações com sensibilidade de bit único. Nos testes dos autores, o método zerou falsos positivos e negativos em 17 de 18 tipos de ataque, incluindo colagem, copy-move e quantização vetorial, com forte apelo declarado para forense de imagem e autenticação de documentos legais.
Um framework de resposta a incidentes combina um LLM ajustado que infere a progressão de ataques multi-estágio com um gêmeo digital da rede que replica o ataque inferido e confronta o resultado com o que foi observado, calibrando a inferência antes de qualquer ação de remediação. Em um testbed corporativo de 33 componentes, a abordagem superou baselines de LLMs de fronteira em 18 a 31 pontos percentuais na taxa de sucesso de recuperação, atacando diretamente o problema de agentes autônomos que alucinam cadeias de ataque inexistentes.
Um novo artigo no arXiv apresenta um pipeline reproduzível para identificar endereços de Bitcoin associados a atividade criminosa a partir de 15 anos de mensagens arquivadas do HackForums, combinando triagem por LLM, revisão de especialistas humanos e validação on-chain. O resultado é um dataset público com 2.438 endereços verificados manualmente, cobrindo o período de 2010 a 2024 e doze categorias de cibercrime.
Pesquisadores analisam as principais abordagens de captura de telemetria de kernel para sistemas de proveniência de segurança, identificando eBPF como a tecnologia mais promissora e classificando oito sistemas de proveniência e cinco agentes de captura existentes. A conclusão mais relevante é preocupante: a maioria dessas ferramentas não consegue garantir integridade nem disponibilidade dos eventos capturados, o que as torna inadequadas para uso forense em produção.
Pesquisadores construíram do zero, com mais de 5.000 horas de trabalho de especialistas em engenharia reversa, um benchmark livre de contaminação com 19 programas privados de escala real e 44 primitivas anti-análise proprietárias, gerando 262 binários e 1.572 tarefas avaliadas de forma determinística. O modelo mais forte testado resolveu completamente apenas 31,5% das instâncias, evidenciando que a forte capacidade de LLMs em análise de código-fonte não se transfere para análise binária.
Pesquisadores demonstraram, pela primeira vez, a recuperação completa dos dados do Event Data Recorder (EDR) de um módulo de airbag (SRS) cujo processador e chip de memória Flash EEPROM foram fisicamente destruídos por sobretensão, com temperaturas locais acima de 3000°C. Usando técnicas de preparação de amostra e imageamento por microscopia eletrônica de varredura (SEM), extraíram 100% dos dados sem perda de um único bit, permitindo gerar um relatório EDR completo via CrashScan para reconstrução de acidente.
Um artigo acadêmico propõe reformular a saída de detectores de deepfake como um "score de confiança calibrado" em vez de uma simples probabilidade bruta, expondo um acoplamento quase perfeito entre a descalibração do detector e sua competência discriminativa. Os autores mostram que calibradores comuns (isotônico, Platt, beta) falham exatamente nos casos de baixa competência que mais interessam a pipelines de moderação e verificação de mídia, e propõem um método sem rótulos para sinalizar essa degradação.
Um novo artigo no arXiv propõe uma gramática estrutural para decompor ataques de prompt injection em sete campos (carrier, delivery vector, concealment, context-break, privilege escalation, payload e return channel), em vez de tratá-los como strings isoladas. O framework é validado com um estudo de caso real, o incidente EchoLeak (CVE-2025-32711), e mira equipes de CTI e red team que precisam catalogar e comparar variantes de ataque. A proposta busca preencher uma lacuna que hoje força analistas a depender de correspondência frágil de texto para rastrear campanhas.
Pesquisadores apresentam o STAIR, um framework que substitui playbooks estáticos de resposta a incidentes por um sistema de agentes de LLM que mantém o estado do incidente como grafo, roteia decisões para agentes especializados por estágio e reutiliza experiências anteriores. Testado em 100 cyber ranges baseados em Docker, o sistema atingiu um score de defesa normalizado de 0,94, superando em 9,5% a melhor linha de base. O trabalho é relevante para equipes de IR que buscam automação capaz de se adaptar a um incidente em evolução, e não apenas seguir um roteiro fixo.
Um estudo acadêmico decompõe o tráfego cifrado de quatro redes de anonimato em descritores de controle, estrutura e ritmo para medir quanto cada um vaza sobre o tipo de serviço sendo usado, sem decifrar o conteúdo. Tor se mostrou a rede mais "identificável" por esses padrões comportamentais, enquanto FreeNet foi a mais resistente. O achado tem aplicação direta em forense de rede voltada à investigação de atividade em darknets.
Pesquisadores treinaram um transformer cross-modal sobre mais de 20 anos de histórico de commits do kernel Linux para criar um espaço estilométrico unificado capaz de verificar autoria em nível de patch. O detector, aplicado retrospectivamente e sem retreino aos incidentes reais do backdoor no PHP (2021) e da campanha ForceMemo/GlassWorm (2026), conseguiu isolar os commits forjados dentro de uma fração mínima da fila de auditoria dos mantenedores.
Um novo benchmark com 97.548 vídeos gerados por modelos recentes avalia oito detectores de deepfake em nível de vídeo e doze em nível de imagem, mostrando que os detectores de imagem já rivalizam com os de vídeo (80,16% vs 79,99% de AUC). Os autores propõem o IV-Bridge, um agregador estatístico baseado em random forest que combina previsões quadro a quadro e eleva a acurácia para até 93,80% de AUC.
Um estudo acadêmico conduziu um survey com 101 profissionais do judiciário de Renânia do Norte-Vestfália (Alemanha) — promotores, juízes e peritos forenses — para investigar como a forense digital funciona na prática dentro do processo penal. Os resultados apontam forte demanda por melhor integração da forense digital aos fluxos de trabalho judiciais e desalinhamento de expectativas entre atores técnicos e jurídicos.
Um estudo longitudinal em arXiv desenvolveu filtros heurísticos para detectar transações Bitcoin que usam protocolos de anonimização de segunda geração — CoinJoin, CoinSwap, CoinShuffle e Stealth Addresses — identificando 5,94 milhões de transações CoinJoin e 23,3 milhões de CoinSwap. Apesar dos volumes absolutos altos, a adoção representa menos de 1% do total de transações da rede, com queda acentuada após eventos regulatórios e nenhuma convergência para um padrão único de Stealth Address.
Pesquisadores propõem o SubCASP, um método baseado em Modelos Ocultos de Markov (HMM) que funde logs de múltiplos IDS para inferir em que fase de um ataque uma subestação digital IEC 61850 se encontra, prever o próximo passo do adversário e reconstruir o caminho retrospectivo do ataque. O diferencial é justamente essa reconstrução retrospectiva, que é essencialmente uma tarefa de investigação forense de intrusão em ambiente de tecnologia operacional (OT).
Um estudo (atualizado para v4) reconstrói forensicamente a campanha de mineração de 2025 em que a Qubic afirmou ter executado um 'ataque de 51%' e mineração egoísta contra a Monero. Cruzando medições de nós da rede Monero, observações do pool da Qubic, artefatos compartilhados pela comunidade e chaves de visualização (view keys) divulgadas, os autores atribuem blocos e identificam janelas de retenção, concluindo que não houve controle majoritário sustentado nem vantagem de recompensa sobre a mineração honesta.
Pesquisadores propuseram o (EC)2, um framework multi-agente baseado em LLMs que realiza investigacao estruturada e guiada por hipoteses para explicar alertas de deteccao de anomalias em centros de operacoes de seguranca (SOC), voltado principalmente a pequenas e medias empresas. A proposta busca ir alem de explicacoes de features isoladas, entregando ao analista contexto acionavel sobre entidades e relacoes envolvidas no alerta.
Pesquisadores construíram manualmente um dataset com 150 relatórios de cyber threat intelligence representados como grafos STIX 2.1, totalizando 4.777 entidades e 5.817 relações, com 1.273 padrões de ataque mapeados para 269 técnicas e subtécnicas do MITRE ATT&CK Enterprise. O trabalho também avalia se LLMs locais conseguem atuar como "juízes" automatizados na extração dessas informações, comparando-os a um gabarito validado por dois pesquisadores humanos.
Pesquisadores propõem o EXP-SEC, um framework que explica por que um sistema de detecção de intrusão baseado em deep learning (NIDS) disparou um alerta, incluindo um módulo forense que isola o pacote ou fluxo de tráfego suspeito por trás da decisão. A motivação é prática: modelos de deep learning para detecção de intrusão são precisos, mas funcionam como caixa-preta, e analistas de SOC precisam de explicações acionáveis, não só de um score de confiança.
Artigo publicado na Forensic Science International: Digital Investigation propõe o DarkCatalog, um framework para coleta forense de dados em hidden services da rede Tor que não depende de parsers HTML tradicionais. Não foi possível acessar o texto completo (o ScienceDirect bloqueou a coleta automatizada), então a análise abaixo é contextual, baseada no título e no tema geral do trabalho.
Publicado na Forensic Science International: Digital Investigation, o artigo de Stephin Paul propõe uma análise empírica sobre lacunas de visibilidade forense em incidentes de malware fileless, medindo quanto tempo diferentes tipos de artefato sobrevivem após 49 intrusões confirmadas. Não foi possível acessar o texto completo (bloqueio HTTP 403 da ScienceDirect); a análise a seguir é contextual, baseada no título e tema do trabalho.
Artigo da Forensic Science International: Digital Investigation apresenta uma abordagem de grafos com múltiplas visões (multi-view) para analisar a estrutura da dark web. O texto completo não pôde ser acessado (bloqueio da ScienceDirect); a análise abaixo é contextual, baseada no título e no tema geral da pesquisa.
Martin S. Olivier publica na Forensic Science International: Digital Investigation um estudo sobre classificação de documentos PDF questionados, buscando atribuir um PDF ao software que o gerou. O acesso ao texto completo foi bloqueado pela ScienceDirect; a análise a seguir é contextual, baseada no título e no tema do trabalho.
Dilpreet Kaur Gill e Erisa Karafili propõem, na Forensic Science International: Digital Investigation, uma ontologia para estruturar o processo de atribuição e investigação de ciberataques. O texto completo não pôde ser acessado (bloqueio da ScienceDirect); a análise abaixo é contextual, baseada no título e no tema geral do trabalho.
Pesquisadores alemães publicam na Forensic Science International: Digital Investigation um estudo sobre geração automatizada, com apoio de IA, de consultas SQL para bancos de dados SQLite extraídos de dispositivos móveis. O acesso ao texto completo foi bloqueado pela ScienceDirect; a análise a seguir é contextual, baseada no título e no tema do trabalho.
Cifha Crecil Dias e Vidya Rao apresentam, na Forensic Science International: Digital Investigation, um framework de análise forense voltado a tráfego de rede de dispositivos IoMT (Internet das Coisas Médicas), combinando reconstrução temporal e perfilamento de artefatos. O texto completo não pôde ser acessado (bloqueio da ScienceDirect); a análise abaixo é contextual, baseada no título e no tema geral do trabalho.
Pesquisadores publicaram na Forensic Science International: Digital Investigation um estudo sobre um framework hibrido baseado em MobileNet para identificacao da camera de origem (source camera identification) a partir de videos, tema classico de forense de midia aplicado a autenticacao de conteudo digital. O trabalho e relevante para casos de verificacao de proveniencia de video em investigacoes.
Mark Scanlon, pesquisador de referencia em forense digital, publicou na Forensic Science International: Digital Investigation um artigo sobre como investigar LLMs, sistemas de IA generativa e plataformas de IA proprietaria do ponto de vista pericial -- discutindo evidencia digital, prontidao investigativa (forensic readiness) e o cenario regulatorio em torno dessas ferramentas. O tema aborda diretamente uma lacuna pratica: como peritos devem tratar rastros deixados por assistentes de IA em investigacoes.
Um estudo de caso na Forensic Science International: Digital Investigation descreve a validação forense de uma técnica de fault injection para restaurar acesso a um chip eMMC travado pelo comando CMD42 de proteção permanente contra escrita. O trabalho é relevante para casos em que o dispositivo físico está bloqueado e as ferramentas forenses convencionais não conseguem acessar a memória flash diretamente.
Um artigo da Forensic Science International: Digital Investigation examina, em estudo de caso, como metadados gerados pelo recurso de reconhecimento facial Visual ID da Amazon podem ser usados como evidência corroborativa em investigações. O tema se soma a uma linha crescente de pesquisa sobre artefatos de nuvem de dispositivos residenciais inteligentes (como campainhas Ring) como fonte de prova digital.
Um artigo da Forensic Science International: Digital Investigation propõe correlacionar a identidade de um piloto com a de um drone específico a partir de dados extraídos da plataforma em nuvem da DJI. A abordagem complementa os métodos já estabelecidos de extração local de logs de voo, sendo especialmente útil quando o dispositivo físico não está disponível para exame.
Publicado na Forensic Science International: Digital Investigation, o artigo de Edson OliveiraJr discute os desafios metodológicos de conduzir experimentos controlados e reprodutíveis em pesquisa de forense digital, propondo princípios e uma agenda de pesquisa para tornar a área mais rigorosa cientificamente.
Publicado na Forensic Science International: Digital Investigation, o case note de Lukas Jaeckel e Dirk Labudde examina os desafios periciais e legais que surgem quando material de abuso sexual infantil sintético — gerado ou editado por IA — aparece em contextos de jogos eletrônicos, como conteúdo gerado por usuário, mods ou avatares.
Artigo de Minjung Yoo, Seunghyun Park e Seongmin Kim, publicado na Forensic Science International: Digital Investigation, propõe uma metodologia de análise forense dos artefatos gerados pelo recurso Call & Message Continuity (CMC) da Samsung — que espelha chamadas e mensagens entre smartphone e dispositivos companheiros — como fonte de evidência para investigar golpes de voice phishing (vishing).
Odin Heitmann e Jan William Johnsen revisitam, na Forensic Science International: Digital Investigation, o processo investigativo por trás do ataque de ransomware LockerGoga que paralisou a Norsk Hydro em 2019, extraindo lições práticas sobre resposta a incidentes e investigação de cibercrime em larga escala.
Artigo na FSI: Digital Investigation propõe um modelo de ML desenhado para gerar saídas defensáveis em investigações — não apenas alertas de triagem — na classificação multi-classe de ameaças por e-mail, treinado sobre um dataset sintético de alta fidelidade. A proposta busca conciliar detecção automatizada com requisitos de evidência pericial.
Pesquisadores espanhóis propõem, na FSI: Digital Investigation, uma taxonomia estendida para classificar fóruns de criptomoedas P2P na dark web, construída de forma iterativa. O objetivo é padronizar como investigadores de crimes financeiros e OSINT categorizam esses fóruns, hoje feito de maneira majoritariamente artesanal.
Artigo da FSI: Digital Investigation explora backups Android com permissões privilegiadas de fabricante como fonte alternativa de evidência em investigações de smart home, usando uma abordagem baseada em emulação. A proposta ataca um problema comum: o dispositivo IoT físico muitas vezes não está mais disponível para perícia.
Artigo publicado no Journal of Digital Forensics, Security and Law (JDFSL) apresenta o SynFO (Synthetic Forensic Omnituens), ferramenta que combina Python, Go e as bibliotecas dlib/face-recognition para automatizar aquisição, extração de arquivos relevantes e triagem inicial de evidência via reconhecimento facial em imagens e vídeos. A proposta ataca diretamente o acúmulo de casos pendentes em laboratórios forenses com poucos peritos disponíveis.
Publicado no Journal of Digital Forensics, Security and Law (JDFSL), o estudo propõe uma metodologia de conformance testing — baseada em asserções e casos de teste formais — para comparar objetivamente ferramentas de análise forense de imagens, aplicando-a a FotoForensics, Ghiro, Imago Forensics e Exif Reader. O trabalho nasce da dificuldade prática de escolher entre ferramentas de detecção de manipulação de imagem sem um critério padronizado de avaliação.
Artigo publicado no Journal of Digital Forensics, Security and Law (JDFSL) apresenta um plugin para o Tor Browser e uma infraestrutura de servidor central que permitem a investigadores anotar, coletar e compartilhar conteúdo da dark web preservando a solidez forense dos dados, com o dataset resultante usado para treinar classificadores de machine learning que atingiram entre 85% e 96% de acurácia em validação cruzada de cinco dobras.
Publicado no Journal of Digital Forensics, Security and Law, o estudo entrevistou 78 adultos previamente condenados por posse ou consumo de material de exploração sexual infantil (CSEM) nos EUA, mapeando quais tecnologias usaram para acessar o conteúdo, como migraram entre plataformas e em que medida adotaram contramedidas técnicas. Os achados têm aplicação direta para investigadores digitais que precisam priorizar vetores de coleta de evidência e entender o comportamento típico desse perfil de ofensor.
Publicado no Journal of Digital Forensics, Security and Law (JDFSL), o estudo testou cinco aplicativos de 'cofre' (vault) para ocultar fotos no iOS usando três kits forenses distintos. Todos os cinco apps deixaram evidência recuperável no dispositivo, e as ferramentas forenses divergiram entre si nos resultados dos escaneamentos, revelando que a suposta proteção desses apps é baseada em ofuscação simples, não em controles de segurança reais.
Publicado no Journal of Digital Forensics, Security and Law, o artigo analisa um ataque de phishing real direcionado a clientes de internet banking, documentando como o site falso foi construído e como as informações do atacante puderam ser rastreadas. O trabalho reforça que, apesar da engenharia social continuar eficaz por explorar urgência e pânico, a infraestrutura por trás de campanhas de phishing deixa rastros investigáveis.
Pesquisadores da University of Alabama in Huntsville publicam no Journal of Digital Forensics, Security and Law um panorama das arquiteturas de hardware e software de dispositivos IoT e do impacto dessa diversidade sobre investigações forenses. O artigo argumenta que a falta de padrões amplamente aceitos para extração de dados de dispositivos IoT heterogêneos é a principal barreira metodológica enfrentada por investigadores hoje.
Um estudo publicado no Journal of Digital Forensics, Security and Law ouviu promotores e magistrados da Polônia sobre as dificuldades práticas de obter evidência armazenada em nuvem fora do país. Os entrevistados apontam cooperação internacional lenta, adesão voluntária de provedores estrangeiros, ausência de procedimentos harmonizados e lacunas de conhecimento entre operadores do sistema de justiça como os principais obstáculos.
Um artigo do Journal of Digital Forensics, Security and Law propõe um framework de Digital Forensic Readiness para ambientes de BYOD, combinando honeypots de baixa e alta interação com gestão de dispositivos, operações criptográficas e uma base de políticas, alinhado à norma ISO/IEC 27043. A proposta busca detectar incidentes e preservar evidência potencial antes mesmo de uma investigação formal ser aberta.