MANTIS

MANTIS steht für Multi-source Analysis and Threat Intelligence Search. MANTIS ist eine Threat-Intelligence-Workbench für IOC-Anreicherung, OSINT-CTI-Sammlung, Ransomware- und Breach-Monitoring, YARA-Operationen, Malware-Ähnlichkeitsanalyse und KI-gestützte Untersuchungen.

Highlights

• IOC-Suche: Automatische Erkennung oder manuelle Suche nach Hashes, Domains, IPs, URLs, Schlüsselwörtern und Infrastrukturzielen.
• MANTIS AI: Evidenzbasierter Chat, Zusammenfassungen, Pivot-Empfehlungen, autonomer Agentenmodus, AEAD-Fall-Workflow, Attribution-Scoring, Korrelationsanalyse, YARA-Unterstützung, CTI-Zusammenfassungen und Report-Exporte.
• Infrastructure Hunting (Infra Hunt & C2 Catalog): Pivot von jedem Ausgangspunkt (IP, Domain, ASN, CIDR, Zertifikat-SHA-256) in gegnerische Infrastruktur. Extrahiert JA4/JARM, TLS-Zertifikate, Favicon-MMH3 und HTTP-Header; gleicht mit über 1.000 kuratierten C2-Playbooks ab (Cobalt Strike, Sliver, Havoc, Metasploit usw.); korreliert über Shodan, Censys, FOFA, Netlas, URLScan, Silent Push, Driftnet, Validin und Etugen; bewertet Kandidaten mit GreyNoise-Anti-Noise-Verifikation, interaktiver Graph-Visualisierung und geplanter Wiederholung.
• AI Binary Analysis Lab: Native (PE, ELF, Mach-O) und Managed-.NET-Reverse-Engineering, duale Headless-Backends IDA Pro und Ghidra, GoReSym-Symbolwiederherstellung, automatisierte Funktions-/Variablenumbenennung, Offline-KI-Workspace-Export, autonome In-Database-Untersuchung, Berichte in mehreren Formaten (HTML, MD, PDF) und MANTIS-Fallerstellung mit einem Klick.
• VirusTotal Bulk Samples Downloader: Stapelweiser Download von Malware-Binaries per MD5, SHA-1 oder SHA-256 (bis zu 50 Hashes) direkt in lokale Ordner über die File System Access API des Browsers oder Erstellung passwortgeschützter AES-256-verschlüsselter ZIPs (infected), integriert in die VT Live Hunt-Überwachung.
• Threat Knowledge: Durchsuchen von MISP Galaxy Threat Actors, Malware/Tools, Ransomware, Microsoft Activity Groups, Tidal-Gruppen, Überwachungsanbietern, Malpedia-Familien und Kaspersky TIP-Akteursprofilen.
• MISP Intelligence: Abfrage einer konfigurierten MISP-Instanz als passive, schreibgeschützte kontextuelle Korrelationsquelle für IOC-Ereignisse, Tags, Galaxies, Sichtungen, Warnlisten, Berichte und zugehörige Indikatoren.
• Ransomware Monitor: Verfolgung aktueller Opfer, Gruppen, Trends, Länder, Lösegeldforderungen, Krypto-Adressen, Infrastruktur und Watchlists aus RansomLook, Ransomware.live und ThreatLabz-Notizen.
• YARA Ecosystem: Erkunden lokaler YARA-Repositories, Scannen von Samples, Validieren von Regeln, Ausführen von Corpus-/Pfad-/Upload-Tests, Speichern von Workbench-Regeln und Nutzung von KI zum Erklären oder Korrigieren von Regeln.
• Similarity Engine: Erstellen von Entitäten aus Samples, Extrahieren statischer und optionaler IDA/Hex-Rays-Features, Vergleichen von Samples, Inspizieren von Funktionen/Blöcken/API-Mustern und Anpassen von Schwellenwerten.
• CTI Articles: Einlesen von RSS-/CTI-Feeds, Extrahieren von IOCs, Verwalten von Kategorien und Quellen, Durchsuchen des lokalen Artikelkorpus und Anfordern von KI-Artikelzusammenfassungen.
• Vulnerability Intelligence: Verfolgung von CVE-/PoC-Daten, CISA-KEV-Kontext, trendenden öffentlichen Exploits und OSV-Intelligence zu bösartigen Paketen.
• Telegram Toolkit: Überwachung von Telegram-Kanälen mit MTProto, Parsen von Stealer-Logs, Verfolgung der Ziel-Exposition, Verwaltung von Bot-Token-Untersuchungen und Validierung von Artefakten.
• X Monitor: Sammeln und Filtern überwachter X/Twitter-Konten und Infosec-Chatter für aufkommende IOC- und Schwachstellen-Hinweise.
• Breach Watcher: Aggregation von DailyDarkWeb, RecentBreaches, DataBreach.watch, HaveIBeenPwned, DataBreaches.net, Infostealers Stats und Leak-Lookup-Daten.
• Today's Intelligence: Tägliche Zusammenfassung von CTI-Artikeln, ausgenutzten Schwachstellen, PoCs, Ransomware-Aktivitäten, sozialen Signalen und optionaler KI-Kurzfassung/Report-Ausgabe.

Architektur

flowchart LR
    classDef ui fill:#172033,stroke:#5b8cff,color:#ffffff
    classDef api fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef ext fill:#291b1b,stroke:#f87171,color:#ffe5e5

    User["Analyst"]:::ui --> UI["Frontend SPA<br/>index.html, app.js, ai.js, similarity.js, binary-lab.js, infra-hunt.js"]:::ui
    UI --> Search["IOC Search<br/>auto, hash, domain, IP, URL, keyword, infra"]:::ui
    UI --> Modules["Workbenches<br/>Threat Knowledge, Infra Hunt, Binary Lab, YARA, Similarity, CTI, Ransomware, Telegram, Breach, PoC, Downloader"]:::ui
    UI --> AIPanel["MANTIS AI Panel<br/>chat, pivots, agent, report, attribution"]:::ai

    Search --> API["FastAPI backend<br/>backend/main.py"]:::api
    Modules --> API
    AIPanel --> API

    API --> Intel["intel_query.py<br/>provider adapters and normalizers"]:::api
    API --> LocalEngines["Local engines<br/>Infra Hunt, Binary Lab, YARA, CTI DB, PoC index, Similarity, Ransomware, Telegram"]:::api
    API --> AIServices["AI services<br/>ai_service, ai_case_service, ai_case_agent"]:::ai

    Intel --> Providers["External passive providers<br/>VT, OTX, MISP, ThreatFox, URLScan, Shodan, Censys, GitHub, Twitter/X, RansomLook, Ransomware.live, ORKL, etc."]:::ext
    LocalEngines --> Stores["Local data<br/>SQLite, JSON catalogs, C2 playbooks, YARA repos, RSS cache, reports"]:::data
    AIServices --> AIStores["AI memory and cases<br/>case DB, audit trail, report files"]:::data

    Providers --> API
    Stores --> API
    AIStores --> API
    API --> UI

MANTIS AI

MANTIS AI ist kein generischer Chatbot, der an die UI angebaut wurde. Es liest kompakten Seitenkontext, Provider-Findings, aktuelle Ergebnisse, sichtbaren Text, Case-Status und vom Analysten ausgewählte Evidenz. Anschließend kann es über die aktive Untersuchung reasoning betreiben und dabei passive/Read-only-Guardrails einhalten.

KI-Fähigkeiten

• Assist: Fragen zum aktuellen Ergebnissatz oder zur Untersuchungsseite stellen.
• Summarize Findings: Rohe Provider-Karten in prägnante Analystennotizen umwandeln.
• Recommend Pivots: Passive Folgeaktionen bewerten und verrauschte Pivots unterdrücken.
• Compare Relationship: Entitäten und Evidenz korrelieren und dabei Überschneidungen/Widersprüche behandeln.
• Attribution: Kandidaten-Akteur-/Gruppen-Attribution mit Evidenzkategorien, Widersprüchen, fehlender Evidenz und Konfidenzbändern bewerten.
• Agent Investigation: Begrenzte autonome Auswahl des nächsten Schritts über freigegebene Frontend-Aktionen ausführen.
• AEAD Case Run: Acquire, Enrich, Discover/Pivot, Analyze und Deliver gegen Case-Evidenz ausführen.
• Report Drafting: Case-Berichte, Markdown-Exporte, JSON-Exporte, gespeicherte HTML-Berichte und portable AI-Workspace-ZIPs erstellen.
• YARA Assistant: Regeln erklären, Validierungsfehler analysieren, Korrekturen vorschlagen, sichere Syntaxprobleme automatisch beheben und Testergebnisse überprüfen.
• CTI AI: CTI-Artikel zusammenfassen und Today's Intelligence AI-Briefs/-Berichte erstellen.
• Audit and Safety: Tool-Entscheidungen, Genehmigungsstatus, Operations-Metadaten und unterdrückte Pivots speichern.

AEAD-Workflow

flowchart TD
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef guard fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef out fill:#172033,stroke:#5b8cff,color:#ffffff