A compilação semanal do Forensic Focus reúne o que a comunidade de forense digital publicou nos últimos dias: frameworks de IA aplicados a DFIR, ferramentas surgidas em hackathons, artefatos de desbloqueio no macOS, técnicas de correlação de logs entre plataformas e extração forense de dados do Apple Health. É uma curadoria, não um artigo técnico único, mas mapeia bem as frentes ativas de pesquisa e prática forense nesta semana.
A Belkasoft anunciou em prévia o recurso BelkaGPT na versão 2.12 do Belkasoft X, capaz de traduzir chats, SMS e textos extraídos de artefatos em mais de 100 idiomas, rodando inteiramente na máquina do perito. A proposta é eliminar a necessidade de enviar evidência digital a serviços de tradução em nuvem durante a análise.
A edição semanal de curadoria de notícias forenses da Forensic Focus agrupa cinco frentes que vêm ganhando espaço na prática pericial: vestígios deixados por uso de ferramentas da OpenAI, o recurso Screen Time da Apple como fonte de evidência de uso de aplicativos, técnicas de geolocalização extraídas de memória volátil, uso de IA para acelerar investigações e os gargalos de imagem forense em laboratórios com grande volume de casos. Não foi possível acessar o texto integral de cada matéria referenciada no momento desta análise, então o resumo abaixo trata do significado de cada tema para a prática de DFIR, sem reproduzir achados específicos do post original.
O DFIR Report detalha a BengalSEO, uma operação criminosa baseada em Rajasthan (Índia) e ativa desde 2015, que combina black hat SEO em larga escala com um sistema de distribuição de tráfego para posicionar páginas maliciosas no topo de buscas por softwares populares. As vítimas são levadas a páginas de isca hospedadas em plataformas legítimas (github.io, pages.dev, readthedocs.io) e, após triagem por CAPTCHA e fingerprinting, recebem o dropper JavaScript MayaBot ou são direcionadas a golpes de suporte técnico por telefone. O relatório é a parte 1 de uma série e traz reconstrução completa da infraestrutura, TTPs mapeados no MITRE ATT&CK e um extenso conjunto de IOCs.
Pesquisadores publicam na FSI: Digital Investigation um framework para investigar o uso indevido do AnyDesk em sistemas Windows, mapeando artefatos que permitem reconstruir sessões de acesso remoto durante uma perícia. O artigo aborda um problema recorrente em DFIR: diferenciar suporte técnico legítimo de abuso por operadores de ransomware e fraude.
O Forensic Focus publicou sua coletânea semanal de notícias de forense digital, reunindo quatro desenvolvimentos do setor: o novo catálogo ArtCat de artefatos forenses do NIST, uma discussão sobre a metodologia investigativa usada no caso Kohberger, análise de logs de intrusão em Android e o lançamento de uma ferramenta de IA offline chamada BelkaGPT. É um resumo de curadoria, não uma reportagem original aprofundada sobre um único tema.
A edicao semanal do Forensic Focus reune avancos tecnicos relevantes para peritos: um framework premiado no DFRWS USA 2026 para forense de memoria de malware escrito em Go, novos parsers para bancos de notificacao e Biome streams do iOS, rastros forenses deixados por assistentes de IA integrados a navegadores, e uma tecnica de anti-forense usada pela variante de botnet Mirai batizada Tengu. O conjunto ilustra bem a velocidade com que novos artefatos e tecnicas de evasao surgem no dia a dia da pericia digital.
Edição semanal do Forensic Focus reúne avanços práticos em diversas frentes da perícia digital: análise de bancos SQLite em iOS Powerlogs, desafios de aquisição em ambientes serverless (AWS Lambda e Azure Functions), decodificação do banco de dados do Signal em Android 15 e novidades nas ferramentas open-source iLEAPP/ALEAPP para sinalização de imagens geradas por IA. O compilado também traz uma ferramenta de timeline para Linux e uma atualização de triagem para macOS.
Estudo de caso sobre acelerar a triagem forense — separar rapidamente dispositivos e dados relevantes do resto — reduzindo de horas para minutos o tempo até as primeiras pistas, num contexto de backlog crescente de dispositivos.
Guia técnico sobre reconstruir arranjos RAID quando os parâmetros originais (ordem dos discos, tamanho de stripe, paridade) são desconhecidos — passo essencial para sequer acessar a evidência antes de a análise começar.
Um fluxo de quatro estágios sobre a plataforma DFIR aberta Velociraptor transforma conhecimento de artefatos em regras que servem tanto para monitorar ao vivo quanto para investigar depois do incidente, permitindo triagem forense em escala sem precisar imagear o disco inteiro.
Logs de eventos do Windows rotacionam e se sobrescrevem rápido. O artigo defende o arquivamento contínuo como pré-condição para reconstruir a timeline de um incidente — sem os logs preservados, boa parte da história do ataque desaparece.
Estudo comparando agentes de IA e investigadores humanos conclui que a automação ganha tempo nas análises repetitivas, mas falha diante de ameaças sofisticadas por sua rigidez baseada em padrões — o raciocínio contextual do perito ainda é o que garante a integridade da investigação.
Relatório da The DFIR Report reconstrói uma intrusão completa do ransomware Lynx, iniciada em março de 2025 por um logon RDP bem-sucedido usando credenciais já comprometidas (sem indícios de força bruta), passando por reconhecimento de rede, movimentação lateral até o controlador de domínio, exfiltração de dados via 7-Zip/temp.sh e culminando na implantação do ransomware e exclusão dos jobs de backup do Veeam. A cadeia de eventos, com IOCs e cronologia detalhados, é um caso de referência para times de resposta a incidentes.
Relatório da The DFIR Report detalha uma intrusão de quase 60 dias iniciada por um arquivo JavaScript ofuscado disfarçado de formulário fiscal W-9, que instalou Brute Ratel C4 e evoluiu para uso de Latrodectus, Cobalt Strike, um backdoor .NET customizado e tentativa de exploração do Zerologon (CVE-2020-1472), culminando em reconhecimento extenso de Active Directory e exfiltração de dados via Rclone para um servidor FTP.
Um novo conjunto de avaliação com 500 casos reais de disco e memória do NIST, 700 questões e 150 desafios estilo CTF mede o quanto modelos de linguagem realmente ajudam na forense digital — e revela que, em tarefas periciais complexas, a acurácia dos modelos ainda beira zero.
A equipe do Volatility publicou um estudo de caso mostrando como detectar o ataque Skeleton Key do Mimikatz, que injeta código no lsass.exe e força o downgrade de Kerberos AES para RC4, criando uma senha universal para qualquer conta do Active Directory. O post documenta o plugin windows.skeleton_key_check, que valida diretamente a estrutura _KERB_ECRYPT em memória em vez de depender de heurísticas sujeitas a falso positivo.