Pesquisadores apresentam uma metodologia automatizada para reconstruir, a partir de capturas PCAP, a execução de protocolos de rede sob o modelo de intruso passivo Dolev-Yao. O framework extrai objetos serializados em Java, remonta sessões concorrentes e valida as reconstruções contra uma especificação formal do protocolo (AnBx), atingindo mais de 94% de sucesso em capturas de sessão única e cerca de 89% em cenários com sessões paralelas.
Pesquisadores apresentam o MODEXRE, um pipeline que transforma um classificador XGBoost com explicabilidade SHAP em uma ferramenta forense de verdade: ele separa um modo 'Laboratório' (treino e certificação em dados sintéticos) de um modo 'Formal' (inferência sobre evidência real de caso, com modelo congelado e hash-verificado). O artigo documenta quatro falhas reais encontradas durante o desenvolvimento — incluindo vazamento de timestamp e um classificador binário certificado por engano quando deveria ser multiclasse — e como a correção delas mudou drasticamente os resultados em uma captura de pacotes real.
Pesquisadores analisaram 14.591 edições e 79.541 postagens de URLs feitas por agentes autônomos de LLM em uma wiki alemã pública, mostrando como a converteram em um quadro de mensagens informal mesmo estando restritos a requisições HTTP GET. Foram catalogados 67 serviços intermediários usados para encadear URLs em até cinco camadas, tanto para ampliar capacidades quanto para evadir filtros de rede. O trabalho usa metodologia de reconstrução de artefatos web equivalente a uma investigação forense de rede, com implicações diretas para quem monitora abuso e exfiltração via agentes de IA.
Um estudo acadêmico demonstra que dados de NetFlow com granularidade baixa — contagens de pacotes amostradas a 1 em 1.000, agregadas por minuto — são suficientes para identificar o servidor real por trás de um serviço onion do Tor, tanto por ataques ativos (indução de padrões de tráfego) quanto por um ataque passivo que explora a defesa anti-DoS do próprio Tor como canal lateral. Os autores pedem redesenho dos sinais de defesa publicamente visíveis do protocolo.
O pesquisador Erik Hjelmvik (Netresec) mapeou a evolução do canal de comando e controle do AtlasRAT, backdoor associado ao grupo chinês Silver Fox (também rastreado como Void Arachne/TA4922/SwimSnake). O malware migrou de um handshake em texto claro iniciado por 'SFuck' para uma variante 'BFuck' com criptografia ChaCha20, e mais recentemente passou a se camuflar em TLS na porta 443. O artigo publica assinaturas Suricata e uma lista de IOCs (IPs, domínios e fingerprints JA3) para detecção em rede.
A nova versão do NetworkMiner adiciona um parser para o protocolo de autenticação RADIUS e aprofunda a extração de dados dos protocolos industriais UMAS e IEC-104, além de corrigir falhas na reconstrução de arquivos a partir de capturas PCAP. As mudanças reforçam o papel da ferramenta na forense de rede e de ambientes industriais (OT/ICS).
Pesquisadores propõem um framework que usa um gêmeo digital (digital twin) de um sistema de controle industrial para detectar desvios de estado físico, converter esses desvios em descrições preservadoras de evidência e mapeá-los para técnicas do MITRE ATT&CK for ICS por meio de um LLM com retrieval-augmented reasoning. O resultado é um grafo de dependência tipado que tenta reconstruir a cadeia de ações do atacante a partir apenas da telemetria de processo. A avaliação em SWaT mostrou redução de falsos positivos, mas recall moderado e nenhuma generalização consistente para os datasets externos BATADAL e WADI.
Pesquisadores apresentam o Helol Tunnel, uma tecnica de canal encoberto que embute dados em pacotes Client Hello do TLS rearranjando elementos criptograficos do pacote, aproveitando-se de regras recentes que obrigam firewalls e middleboxes a preservar a configuracao desses parametros. O trabalho, premiado como Best Paper no SVCC 2025, mostra que a tecnica supera canais encobertos anteriores baseados em TLS ao evadir deteccao por firewalls de proxima geracao (NGFW) e por fingerprinting de TLS.
Pesquisadores testaram, em 17.577 fluxos TLS extraidos de 62 capturas reais de Cobalt Strike, a hipotese comum de que combinar metadados de fluxo com fingerprints de handshake TLS melhora a deteccao de trafego de comando e controle (C2). Ao remover vazamentos de dados presentes em avaliacoes anteriores, encontraram que o ganho real da fusao e minimo e que, sob ataque adversarial, todos os modelos testados perdem para um baseline trivial.
Pesquisadores demonstram que o tráfego JSON-RPC de agentes de IA usando o Model Context Protocol tem padrão estrutural e temporal parecido com o beaconing de frameworks de C2 como o Cobalt Strike, mas passa ileso por Suricata e pela pontuação comportamental do RITA em todos os cenários testados. Os autores propõem um padrão de indicação nativa para agentes (ALPN dedicado e headers fora de banda) para fechar essa lacuna de visibilidade.
Pesquisadores apresentam o RuleAutoPilot, um framework agentivo que produz regras Suricata implantáveis diretamente a partir de capturas de tráfego malicioso (PCAPs), sem depender de inteligência de ameaças previamente curada. O sistema filtra tráfego benigno conhecido antes de acionar o LLM e usa um ciclo de verificação fundamentado em execução para corrigir regras que falham em sintaxe, não disparam na amostra de origem ou geram falsos positivos.
Pesquisadores publicam na Forensic Science International: Digital Investigation um método para reconciliar diferenças de timestamp entre o controlador e os switches em redes definidas por software (SDN), um problema que compromete a confiabilidade de timelines forenses nesse tipo de ambiente. O artigo (volume 58, setembro de 2026) ataca diretamente a questão de como reconstruir uma linha do tempo de eventos de rede quando a arquitetura distribuída da SDN introduz dessincronização de relógios entre plano de controle e plano de dados.
A Netresec publicou uma engenharia reversa do protocolo de comando e controle (C2) binário usado pelo RAT CNCMachineRMS, malware entregue como estágio final de cadeias de ataque BabaDeda via ClickFix com CAPTCHAs falsos. A análise, apoiada em capturas de sandbox e no motor de detecção FlowCarp, mapeou múltiplos servidores C2 e dois domínios de registro recente, entregando hashes e IOCs para defensores de rede.
Um estudo acadêmico decompõe o tráfego cifrado de quatro redes de anonimato em descritores de controle, estrutura e ritmo para medir quanto cada um vaza sobre o tipo de serviço sendo usado, sem decifrar o conteúdo. Tor se mostrou a rede mais "identificável" por esses padrões comportamentais, enquanto FreeNet foi a mais resistente. O achado tem aplicação direta em forense de rede voltada à investigação de atividade em darknets.
Pesquisadores propõem o EXP-SEC, um framework que explica por que um sistema de detecção de intrusão baseado em deep learning (NIDS) disparou um alerta, incluindo um módulo forense que isola o pacote ou fluxo de tráfego suspeito por trás da decisão. A motivação é prática: modelos de deep learning para detecção de intrusão são precisos, mas funcionam como caixa-preta, e analistas de SOC precisam de explicações acionáveis, não só de um score de confiança.
A Netresec analisou uma campanha em que VBScripts maliciosos, distribuídos por mensagens diretas do WhatsApp, instalavam a ferramenta legítima de RMM Ping32 (Shandong Anzai) como estágio intermediário para entregar o ValleyRAT. A análise de tráfego de rede identificou o protocolo customizado Gh0stKCP sobre UDP usado pelo C2 do malware.
A ferramenta de interceptação TLS PolarProxy, usada para gerar PCAPs de tráfego decifrado para análise forense de rede, recebeu uma atualização focada em confiabilidade: corrige um bug que corrompia pacotes no PCAP de saída e falhas que podiam travar conexões não-TLS. A versão também reduz o consumo de memória e passa a priorizar a integridade da captura sobre a velocidade bruta do proxy.
Cifha Crecil Dias e Vidya Rao apresentam, na Forensic Science International: Digital Investigation, um framework de análise forense voltado a tráfego de rede de dispositivos IoMT (Internet das Coisas Médicas), combinando reconstrução temporal e perfilamento de artefatos. O texto completo não pôde ser acessado (bloqueio da ScienceDirect); a análise abaixo é contextual, baseada no título e no tema geral do trabalho.
A nova versão do CapLoader, ferramenta de análise de tráfego PCAP do Netresec, passa a armazenar em cache e remontar handshakes TLS Client Hello fragmentados em múltiplos segmentos — cenário cada vez mais comum com Encrypted Client Hello (ECH) e troca de chaves pós-quântica —, o que evita perder a extração de fingerprints JA3/JA4 usados para identificar clientes maliciosos. A versão também adiciona correlação automática contra uma plataforma de threat intel e suporte a mais protocolos de encapsulamento de rede.
A Netresec lançou a versão 2.0 do PolarProxy, proxy transparente de inspeção TLS/SSL voltado a analistas de malware e respondedores de incidentes, que decriptografa e recriptografa tráfego para gerar PCAPs em texto claro analisáveis em Wireshark ou IDS. A nova versão migra para .NET 10, passa a ser distribuída como binário único autocontido, ganha suporte a Linux musl/ARM64 e adiciona opções como --cutoff para limitar o tamanho de PCAP por fluxo.
Post técnico da Netresec demonstra como o FlowCarp, que identifica mais de 600 protocolos e reconhece sub-protocolos dentro de sessões TLS sem decriptografá-las, foi usado para extrair alertas de uma captura de tráfego de uma infecção pelo RAT Remcos, exibindo os resultados na interface web EveBox e cruzando fingerprints JA3/JA4 com assinaturas do Suricata e inteligência do ThreatFox.