Pesquisadores publicam na Forensic Science International: Digital Investigation um método para reconciliar diferenças de timestamp entre o controlador e os switches em redes definidas por software (SDN), um problema que compromete a confiabilidade de timelines forenses nesse tipo de ambiente. O artigo (volume 58, setembro de 2026) ataca diretamente a questão de como reconstruir uma linha do tempo de eventos de rede quando a arquitetura distribuída da SDN introduz dessincronização de relógios entre plano de controle e plano de dados.
A Netresec publicou uma engenharia reversa do protocolo de comando e controle (C2) binário usado pelo RAT CNCMachineRMS, malware entregue como estágio final de cadeias de ataque BabaDeda via ClickFix com CAPTCHAs falsos. A análise, apoiada em capturas de sandbox e no motor de detecção FlowCarp, mapeou múltiplos servidores C2 e dois domínios de registro recente, entregando hashes e IOCs para defensores de rede.
Um estudo acadêmico decompõe o tráfego cifrado de quatro redes de anonimato em descritores de controle, estrutura e ritmo para medir quanto cada um vaza sobre o tipo de serviço sendo usado, sem decifrar o conteúdo. Tor se mostrou a rede mais "identificável" por esses padrões comportamentais, enquanto FreeNet foi a mais resistente. O achado tem aplicação direta em forense de rede voltada à investigação de atividade em darknets.
Pesquisadores propõem o EXP-SEC, um framework que explica por que um sistema de detecção de intrusão baseado em deep learning (NIDS) disparou um alerta, incluindo um módulo forense que isola o pacote ou fluxo de tráfego suspeito por trás da decisão. A motivação é prática: modelos de deep learning para detecção de intrusão são precisos, mas funcionam como caixa-preta, e analistas de SOC precisam de explicações acionáveis, não só de um score de confiança.
A Netresec analisou uma campanha em que VBScripts maliciosos, distribuídos por mensagens diretas do WhatsApp, instalavam a ferramenta legítima de RMM Ping32 (Shandong Anzai) como estágio intermediário para entregar o ValleyRAT. A análise de tráfego de rede identificou o protocolo customizado Gh0stKCP sobre UDP usado pelo C2 do malware.
A ferramenta de interceptação TLS PolarProxy, usada para gerar PCAPs de tráfego decifrado para análise forense de rede, recebeu uma atualização focada em confiabilidade: corrige um bug que corrompia pacotes no PCAP de saída e falhas que podiam travar conexões não-TLS. A versão também reduz o consumo de memória e passa a priorizar a integridade da captura sobre a velocidade bruta do proxy.
Cifha Crecil Dias e Vidya Rao apresentam, na Forensic Science International: Digital Investigation, um framework de análise forense voltado a tráfego de rede de dispositivos IoMT (Internet das Coisas Médicas), combinando reconstrução temporal e perfilamento de artefatos. O texto completo não pôde ser acessado (bloqueio da ScienceDirect); a análise abaixo é contextual, baseada no título e no tema geral do trabalho.
A nova versão do CapLoader, ferramenta de análise de tráfego PCAP do Netresec, passa a armazenar em cache e remontar handshakes TLS Client Hello fragmentados em múltiplos segmentos — cenário cada vez mais comum com Encrypted Client Hello (ECH) e troca de chaves pós-quântica —, o que evita perder a extração de fingerprints JA3/JA4 usados para identificar clientes maliciosos. A versão também adiciona correlação automática contra uma plataforma de threat intel e suporte a mais protocolos de encapsulamento de rede.
A Netresec lançou a versão 2.0 do PolarProxy, proxy transparente de inspeção TLS/SSL voltado a analistas de malware e respondedores de incidentes, que decriptografa e recriptografa tráfego para gerar PCAPs em texto claro analisáveis em Wireshark ou IDS. A nova versão migra para .NET 10, passa a ser distribuída como binário único autocontido, ganha suporte a Linux musl/ARM64 e adiciona opções como --cutoff para limitar o tamanho de PCAP por fluxo.
Post técnico da Netresec demonstra como o FlowCarp, que identifica mais de 600 protocolos e reconhece sub-protocolos dentro de sessões TLS sem decriptografá-las, foi usado para extrair alertas de uma captura de tráfego de uma infecção pelo RAT Remcos, exibindo os resultados na interface web EveBox e cruzando fingerprints JA3/JA4 com assinaturas do Suricata e inteligência do ThreatFox.