Pesquisadores apresentam uma metodologia automatizada para reconstruir, a partir de capturas PCAP, a execução de protocolos de rede sob o modelo de intruso passivo Dolev-Yao. O framework extrai objetos serializados em Java, remonta sessões concorrentes e valida as reconstruções contra uma especificação formal do protocolo (AnBx), atingindo mais de 94% de sucesso em capturas de sessão única e cerca de 89% em cenários com sessões paralelas.
A nova versão do NetworkMiner adiciona um parser para o protocolo de autenticação RADIUS e aprofunda a extração de dados dos protocolos industriais UMAS e IEC-104, além de corrigir falhas na reconstrução de arquivos a partir de capturas PCAP. As mudanças reforçam o papel da ferramenta na forense de rede e de ambientes industriais (OT/ICS).
A Netresec analisou uma campanha em que VBScripts maliciosos, distribuídos por mensagens diretas do WhatsApp, instalavam a ferramenta legítima de RMM Ping32 (Shandong Anzai) como estágio intermediário para entregar o ValleyRAT. A análise de tráfego de rede identificou o protocolo customizado Gh0stKCP sobre UDP usado pelo C2 do malware.
A ferramenta de interceptação TLS PolarProxy, usada para gerar PCAPs de tráfego decifrado para análise forense de rede, recebeu uma atualização focada em confiabilidade: corrige um bug que corrompia pacotes no PCAP de saída e falhas que podiam travar conexões não-TLS. A versão também reduz o consumo de memória e passa a priorizar a integridade da captura sobre a velocidade bruta do proxy.
A nova versão do CapLoader, ferramenta de análise de tráfego PCAP do Netresec, passa a armazenar em cache e remontar handshakes TLS Client Hello fragmentados em múltiplos segmentos — cenário cada vez mais comum com Encrypted Client Hello (ECH) e troca de chaves pós-quântica —, o que evita perder a extração de fingerprints JA3/JA4 usados para identificar clientes maliciosos. A versão também adiciona correlação automática contra uma plataforma de threat intel e suporte a mais protocolos de encapsulamento de rede.
A Netresec lançou o FlowCarp, uma ferramenta de linha de comando que identifica o protocolo de aplicação em capturas de rede a partir de medições estatísticas do fluxo — sem usar número de porta, assinaturas estáticas ou parsers de protocolo. A abordagem reconhece até protocolos proprietários e canais de C2 de malware, como o do Mirai, que costumam escapar de IDS baseados em assinatura. A saída segue o formato Suricata Eve JSON (ou CSV), o que facilita encaixar a ferramenta no fluxo de análise pericial de tráfego.