Pesquisadores apresentam o MODEXRE, um pipeline que transforma um classificador XGBoost com explicabilidade SHAP em uma ferramenta forense de verdade: ele separa um modo 'Laboratório' (treino e certificação em dados sintéticos) de um modo 'Formal' (inferência sobre evidência real de caso, com modelo congelado e hash-verificado). O artigo documenta quatro falhas reais encontradas durante o desenvolvimento — incluindo vazamento de timestamp e um classificador binário certificado por engano quando deveria ser multiclasse — e como a correção delas mudou drasticamente os resultados em uma captura de pacotes real.
A Magnet Forensics publicou um guia estruturado em cinco fases para investigar casos de Business Email Compromise, cobrindo desde a contenção inicial até o relatório final. O material detalha quais artefatos de nuvem e endpoint precisam ser preservados para reconstruir a cronologia do ataque sem destruir evidências durante a remediação.
Examinadores que trabalharam no caso Kohberger relatam como o desligamento manual do celular, a desativação de Wi-Fi e dados celulares e uma limpeza profunda do laptop (incluindo os próprios logs de limpeza) se tornaram, paradoxalmente, as evidências mais incriminadoras. O artigo da Cellebrite detalha o uso de Physical Analyzer, testes de replicação em dispositivos idênticos e dados de torre celular via CAST do FBI para sustentar as conclusões em tribunal.
Um novo estudo propõe uma taxonomia de ataques anti-forenses que exploram o uso de LLMs como assistentes ou agentes autônomos em perícia digital, aproveitando o fato de que a evidência analisada é, por definição, controlada pelo atacante. Os autores demonstram três ataques práticos contra um pipeline de análise assistido por LLM: alterar a conclusão do laudo, gravar conteúdo escolhido pelo atacante na estação do analista e provocar tráfego de rede de saída — tudo isso a partir de texto plantado no próprio dispositivo apreendido.
Um novo estudo acadêmico mede, alegação por alegação, o quanto se pode confiar em laudos de forense móvel Android redigidos com apoio de LLMs (Gemini, Llama e Qwen). Dos 612 enunciados extraídos de seis relatórios, mais de duzentos ficaram sem suporte probatório, contraditórios ou incompletos, mesmo quando os modelos recuperaram corretamente os fatos autorizados pelo caso. O trabalho propõe uma metodologia auditável para rastrear a cadeia entre alegação e evidência, reforçando que a autoridade final sobre o laudo deve permanecer com o perito humano.
Pesquisadores propõem uma metodologia de aquisição forense de sinais sem fio (GNSS e AIS) para investigar encalhes e colisões causados por spoofing ou jamming no ambiente marítimo. A proposta captura IQ bruto multicanal junto com metadados de instrumento sincronizados no tempo, empacotados em um envelope auditável com cadeias de hash e ancoragem temporal para resistir a contestação em processos de responsabilização.
O ABF-Bench é um benchmark interativo que transforma o rastreamento de fundos em blockchain numa tarefa verificável: cada movimento afirmado pelo agente precisa citar o registro de ledger que ele próprio recuperou. Construído a partir de casos reais de lavagem de dinheiro, o estudo mostra que um harness especializado em memória de trabalho atinge 75% de recall de arestas no grafo de rastreamento, contra 47% do Codex e apenas 10% do Claude Code, que perde pontos por citar registros que nunca recuperou de fato.
Um estudo com Claude Sonnet reconstruindo execuções salvas do benchmark AgentDojo Banking mostra que um leitor LLM pode acertar o valor correto, mas fazer afirmações de "fonte da citação" sem nenhum suporte real em 26 de 28 casos quando falta uma tabela explícita de vinculação registro-evidência. Os autores concluem que concordância factual não é suficiente para validar reconstrução forense de agentes de IA.
A Magnet Forensics publicou um guia metodológico que estrutura a investigação de incidentes de ransomware em cinco fases, da contenção guiada por evidências até a documentação pós-incidente. O texto enfatiza a ordem correta entre preservação de evidências voláteis e contenção, e como os achados forenses devem orientar as decisões de remediação e recuperação.
O artigo "Hearsay" audita 16 frameworks de agentes de IA implantados e conclui que nenhum produz um registro de execução verificável por um leitor que não estava presente — ou seja, nenhum atende ao padrão que os autores chamam de "evidenciário". Exames feitos por LLMs e por humanos conseguem apontar a falha certa em 74% a 91% dos casos, mas raramente conseguem provar, a partir do próprio log, como a execução de fato ocorreu, e a saída proposta é duplicar o registro com um log externo, somente para acréscimo (append-only) e assinado por hash.
Em entrevista ao Forensic Focus, Radim Motycka, fundador da ProofSnap, defende que a preservacao de evidencia web precisa ir alem da captura de tela simples, incorporando hashes criptograficos, timestamps confiaveis, o formato WARC e artefatos de rede. Segundo ele, essa combinacao permite verificacao independente da integridade e da origem do conteudo capturado, algo que um screenshot isolado nao consegue provar.
A Magnet Forensics publicou um guia sobre como transformar um drone apreendido em evidência confiável, cobrindo desde a segurança na cena até a extração de dados. O material detalha por que a aeronave, o controle, o aplicativo pareado e a nuvem associada precisam ser tratados como fontes complementares de evidência.
Uma revisao sistematica compara playbooks, LLMs, RAG e agentes autonomos como ferramentas de apoio a decisao para o primeiro respondente de um incidente cibernetico, etapa em que erros procedimentais podem destruir evidencia digital de forma irreversivel. Os autores apontam sistemas baseados em RAG como a opcao mais viavel atualmente, mas alertam que alucinacoes confiantes e alta sensibilidade a formulacao do prompt sao riscos serios em contexto judicial. O trabalho conclui que os benchmarks de ciberseguranca existentes nao avaliam robustez a consultas leigas nem preservacao de cadeia de custodia, propondo um novo padrao de teste voltado especificamente a esse cenario.
A Atola Technology apresentou o Atola Boot Image, um ambiente forense inicializável (bootável) voltado a cenários em que retirar o disco do computador da cena é arriscado, demorado ou fisicamente inviável. A proposta é permitir que o perito colete uma imagem forense do disco interno mantendo-o instalado na própria máquina, reduzindo o risco de dano ao hardware e o tempo de resposta em campo.
Pesquisadores publicaram na Forensic Science International: Digital Investigation (vol. 59) um estudo com casos reais de extração de artefatos forenses em impressoras 3D Creality baseadas em Linux, rodando o firmware open-source Klipper. O trabalho endereça uma lacuna pouco explorada na perícia: dispositivos de manufatura aditiva que combinam microcontrolador e uma placa companheira Linux completa.
Um paper de posicionamento e arquitetura propõe um modelo neutro de fornecedor para registrar, com ancoragem criptográfica em blockchain, comunicações entre agentes de IA, chamadas de ferramentas, aprovações humanas e artefatos de processo, sem colocar conteúdo sensível on-chain. A motivação declarada é um incidente de 2026 envolvendo OpenAI e Hugging Face, e o objetivo é dar suporte a reconstrução de incidentes, auditorias de GRC e conformidade com EU AI Act, NIS2 e o Cyber Resilience Act.
A Belkasoft anunciou em prévia o recurso BelkaGPT na versão 2.12 do Belkasoft X, capaz de traduzir chats, SMS e textos extraídos de artefatos em mais de 100 idiomas, rodando inteiramente na máquina do perito. A proposta é eliminar a necessidade de enviar evidência digital a serviços de tradução em nuvem durante a análise.
Artigo da FSI: Digital Investigation propõe uma metodologia de perícia digital voltada a robôs quadrúpedes, tratando esses dispositivos como uma nova classe de evidência com sensores, telemetria e conectividade próprios. O tema é emergente à medida que empresas de segurança e forças policiais passam a adotar esse tipo de hardware.
A Magnet Forensics defende que mandados de busca para dados em nuvem sejam redigidos a partir do que cada provedor efetivamente guarda, em vez de pedidos genéricos de 'tudo'. A metodologia proposta usa três perguntas estruturais e cinco perguntas por categoria de dado solicitado, com prazos de retenção diferenciados por tipo. O exemplo citado é o Google Takeout, que hoje expõe 62 categorias de dados exportáveis.
O Forensic Focus publicou um guia prático para identificar volumes BitLocker protegidos pelo modo Clear Key e descriptografá-los usando as ferramentas de código aberto dislocker e bdeinfo. O texto ensina a reconhecer a assinatura "-FVE-FS-" nos metadados FVE como indício de que a chave está armazenada em texto claro dentro da própria imagem, permitindo montar o volume NTFS decifrado sem senha de recuperação.
A CYFOR Forensics publicou um artigo explicando a técnica de "frequency analysis" usada em perícia móvel para avaliar a plausibilidade de alegações a partir de padrões temporais de chamadas, mensagens, uso de aplicativos e navegação. Em vez de olhar para um evento isolado, o método reconstrói o comportamento habitual do usuário ao longo do tempo e busca anomalias — picos, quedas ou silêncios de comunicação — em torno de datas relevantes para o caso.
O Forensic Focus publicou um guia sobre extração móvel direcionada (Targeted Mobile Extraction) e o recurso Collect Files no ADF Pro, ferramenta da ADF Solutions voltada a triagem forense de dispositivos móveis. O material mostra como investigadores podem coletar apenas os dados relevantes a um caso, mantendo a aquisição dentro do escopo autorizado por mandado judicial ou consentimento.
A Thermo Fisher Scientific corrigiu a CVE-2026-17583, uma vulnerabilidade em seu software de identificação humana Applied Biosystems que permitia alterar arquivos .fsa e .hid antes de serem carregados pelo software de análise, sem deixar sinais visíveis de adulteração. Um pesquisador demonstrou ser possível combinar dados de dois perfis de DNA distintos em um único arquivo que aparentava estar intacto desde 2015, gerando preocupação sobre a integridade de décadas de evidência genética usada em processos criminais.
A Magnet Forensics publicou um guia pratico sobre forense veicular, cobrindo identificacao, preservacao, extracao e analise de evidencias digitais em carros, caminhoes e frotas conectadas. O texto detalha as principais fontes de dados -- EDR, sistemas de infotainment e telematica -- alem de metodos de aquisicao e cuidados de cadeia de custodia especificos para veiculos.
Uma investigação do Citizen Lab correlacionou registros de pareamento USB no iPhone do ativista russo Andrey Pivovarov com um laudo pericial oficial russo que cita explicitamente o uso de UFED Physical Analyzer e UFED 4PC, três meses após a Cellebrite anunciar o fim das vendas para Rússia e Belarus. O caso expõe a lacuna entre suspender vendas e desativar remotamente hardware já em campo.
Recomendações para incorporar IA à perícia sem comprometer a validade da prova — da validação e explicabilidade das ferramentas à cadeia de custódia e à documentação que o tribunal exige.
Artigo da CYFOR Forensics discute a diferença entre uma prova digital simplesmente existir e ela ser efetivamente defensável em juízo, situando a acreditação ISO/IEC 17025 (supervisionada no Reino Unido pela UKAS) como referência de qualidade para laboratórios forenses. O texto detalha exigências de cadeia de custódia, validação de métodos e os principais pontos usados para contestar prova digital em tribunal.
Pesquisadores da University of Alabama in Huntsville publicam no Journal of Digital Forensics, Security and Law um panorama das arquiteturas de hardware e software de dispositivos IoT e do impacto dessa diversidade sobre investigações forenses. O artigo argumenta que a falta de padrões amplamente aceitos para extração de dados de dispositivos IoT heterogêneos é a principal barreira metodológica enfrentada por investigadores hoje.