PHANTOM BRAIN v0.9

Offline KI-gestütztes Pentesting-Analyse-Tool mit echter Hardware-Integration

Lokale LLM-Analyse (via Ollama) für WiFi, Sub-GHz, NFC/RFID und WPA2-Captures — kein Internet erforderlich, keine Cloud-APIs, 100 % offline. Das Haupt-LLM läuft auf einem Windows-PC. Der Raspberry Pi fungiert als leichtgewichtiger sekundärer Knoten (Live-Capture + nur phi3:mini).

Unterstützte Hardware: Flipper Zero · WiFi Pineapple MK7 · Proxmark3 · Raspberry Pi 4 (Kali Linux) · Atheros AR9271

Modelle: mistral:7b-instruct · deepseek-r1:7b · phi3:mini

Lizenz: GPL-3.0 | Autor: Otto | Community: AI Tinkerers

⚠️ Experimentelles Projekt — nicht für den Produktiveinsatz geeignet. Die KI-Analyse unterstützt menschliche Forscher; sie ersetzt keine manuelle Prüfung. Überprüfen Sie Ergebnisse stets eigenständig.

---

Was Phantom Brain IST und NICHT IST

✅ Was es IST	❌ Was es NICHT ist
Automatischer Analysator, der Capture-Ergebnisse strukturiert	Ein Ersatz für Wireshark, bettercap oder aircrack-ng
KI-gestützter Berichtsgenerator (offline, lokales LLM)	Ein autonomer Pentester
Orchestrator zwischen Hardware-Tools (Flipper, Pineapple, Proxmark)	Ein produktionsreifes Sicherheitstool
Forschungs- und Lernplattform	Ein Ersatz für manuelle Prüfung
100 % offline — keine Datenexfiltration	Cloud-abhängig oder API-gestützt

💡 Jeder KI-generierte Bericht sollte als Ausgangspunkt betrachtet werden, nicht als endgültiges Urteil. LLMs können Schwachstellen halluzinieren. Strukturierte Parser-Ausgaben (ohne KI) sind stets zuverlässiger.

---

Systemarchitektur

FELD (Mobil):
┌──────────────────┐
│  Flipper Zero    │ ──► Sub-GHz (.sub), NFC (.nfc), WiFi-Scanning
└──────────────────┘
┌──────────────────┐
│  WiFi Pineapple  │ ──► WPA2-Handshakes (.pcap), Deauth, PMKID
└──────────────────┘
┌──────────────────┐
│  Proxmark3       │ ──► Erweitertes RFID/NFC (EM410x, MIFARE, EMV)
└──────────────────┘

BASIS — PRIMÄRKNOTEN (für volle Funktionalität erforderlich):
┌──────────────────────────────────────────────────────┐
│  Windows-PC (oder Linux-Desktop)                     │
│  Python 3.11+ · Ollama · Flask API                  │
│  Ausführen: mistral:7b-instruct, deepseek-r1:7b      │
│  ► PHANTOM BRAIN CLI, vollständige Analyse, Berichte |
└──────────────────────────────────────────────────────┘

BASIS — SEKUNDÄRKNOTEN (optional, leichtgewichtig):
┌──────────────────────────────────────────────────────┐
│  Raspberry Pi 4 (Kali Linux)                         │
│  Ollama · Atheros AR9271                             │
│  Ausführen: nur phi3:mini (mistral:7b zu schwer für Pi) │
│  ► Live-WiFi-Capture · leichte lokale Inferenz        │
│  HINWEIS: Verbindet sich mit dem Ollama des PCs für schwere Modelle │
└──────────────────────────────────────────────────────┘

⚠️ Architekturhinweis: Der Raspberry Pi führt nicht den gesamten Phantom-Brain-Stack autonom aus. Für eine vollständige Analyse mit mistral:7b-instruct oder deepseek-r1:7b ist ein PC mit Ollama erforderlich. Der Pi dient als Capture-Knoten und kann nur phi3:mini für leichte Offline-Inferenz ausführen.

Analyse-Pipeline (v0.9)

input → classifier → tool.run() → ToolResult(risk, findings) → Ollama

Jeder Capture-Typ durchläuft sein spezifisches Tool, bevor er das LLM erreicht. Das Tool strukturiert die Ausgabe mit einer Risikostufe und wichtigen Erkenntnissen und reichert so den Kontext für Ollama an.

---

Funktionen

WiFi / Marauder

• Marauder-Log-Parser
• Erkennung von verwundbaren WPS-Netzwerken
• Identifizierung versteckter Netzwerke
• Sicherheitsstatistiken

Sub-GHz / Flipper Zero

• .sub-Datei-Parser (sub_ghz_parser.py)
• Extraktion: Protokoll, Frequenz, Schlüssel, Pakete
• Unterstützt: Security+ 2.0, Rolling Code, Fixed Code
• Musteranalyse über mehrere Captures hinweg (sub_ghz_analyzer.py)

NFC / Flipper Zero + Proxmark3

• .nfc-Datei-Parser (nfc_parser.py)
• Unterstützt: MIFARE Classic 1K/4K, MIFARE Plus, NTAG, FeliCa, EMV
• Schwachstellenanalysator (nfc_analyzer.py)
• Erkennung: Darkside, Hardnested, Reader Auth Bypass
• Spezielle Analyse für SUBE (öffentlicher Nahverkehr)
• Proxmark3-Ausgabe-Parser (proxmark_parser.py)

WPA2 / WiFi Pineapple

• PCAP-Parser mit Scapy (pcap_parser_v2.py)
• Extraktion: BSSID, SSID, EAPOL-Frames, PMKID
• Validierung vollständiger Handshakes
• Vollständige Pipeline: hcxpcapngtool → hashcat -m 22000

Tools-System (v0.9)

• tools/base_tool.py — einheitlicher BaseTool + ToolResult-Vertrag
• ToolResult mit risk (KRITISCH/HOCH/MITTEL/NIEDRIG) und strukturierten findings
• tools/registry.py — zentrales Register, weist den korrekten Tool nach Typ zu
• tools/classifier.py — automatische Erkennung anhand von Erweiterung und Inhalt
• 14/14 Tests bestanden mit echten Fixtures (pytest tests/test_tools.py)

Datenbank und Berichte

• SQLite für Analysehistorie (db_manager.py)
• Klartextberichte mit Zeitstempel
• Suche nach UID/BSSID, Filter nach Risikostufe
• Analysestatistiken

Flask-API-REST

• flask_api.py läuft auf Port 5000
• GET /status — prüft Ollama und verfügbare Modelle
• POST /upload — empfängt .pcap, .nfc, .sub-Dateien
• POST /analyze — analysiert mit Ollama und speichert in SQLite
• GET /analysis/<id> — ruft gespeicherte Analyse nach ID ab

---

Unterstützte KI-Modelle

Modell	Min. RAM	Speicher	Geschwindigkeit (CPU)	Am besten geeignet für	Knoten
phi3:mini	4 GB	~2,3 GB	~5 min	Schnelle Sichtung, leichte Inferenz, läuft auf Pi — begrenzte Denktiefe	Raspberry Pi 4 / PC
mistral:7b-instruct	8 GB	~4,1 GB	~30 s (PC)	Empfohlener Standard. Vollständige Analyse, präzise umsetzbare Befehle, bestes Genauigkeits-/Geschwindigkeitsverhältnis	Nur PC
deepseek-r1:7b	8 GB	~4,5 GB	~45 s (PC)	Tiefgehende Analyse, detaillierte Abhilfeschritte, Kette-von-Gedanken-Argumentation	Nur PC

Hinweis: Geschwindigkeitsbenchmarks gemessen auf einem PC mit 32 GB RAM (nur CPU, keine GPU). GPU-Beschleunigung über CUDA/ROCm reduziert die Inferenzzeit erheblich. Der Pi kann nur phi3:mini zuverlässig ausführen — mistral:7b verursacht thermische Drosselung und OOM auf Pi 4B 8GB.

Alle Modelle laufen 100 % offline über Ollama — keine Internetverbindung erforderlich.

---

Dateistruktur