MANTIS

MANTIS significa Multi-source Analysis and Threat Intelligence Search. MANTIS es un banco de trabajo de inteligencia de amenazas para el enriquecimiento de IOC, la recopilación de CTI de OSINT, la monitorización de ransomware y filtraciones, las operaciones con YARA, el análisis de similitud de malware y las investigaciones asistidas por IA.

Aspectos destacados

• Búsqueda de IOC: Detecta automáticamente o busca manualmente hashes, dominios, IPs, URLs, palabras clave y objetivos de infraestructura.
• MANTIS AI: Chat basado en evidencias, resúmenes, recomendaciones de pivote, modo agente autónomo, flujo de trabajo de casos AEAD, puntuación de atribución, análisis de correlación, asistencia con YARA, resúmenes de CTI y exportación de informes.
• Caza de infraestructura (Infra Hunt y C2 Catalog): Pivota desde cualquier semilla (IP, dominio, ASN, CIDR, SHA-256 de certificado) hacia infraestructura adversaria. Extrae JA4/JARM, certificados TLS, MMH3 de favicon y cabeceras HTTP; hace referencias cruzadas con más de 1.000 playbooks de C2 seleccionados (Cobalt Strike, Sliver, Havoc, Metasploit, etc.); correlaciona entre Shodan, Censys, FOFA, Netlas, URLScan, Silent Push, Driftnet, Validin y Etugen; puntúa candidatos con verificación antirruido de GreyNoise, visualización gráfica interactiva y recurrencia programada.
• Laboratorio de análisis binario con IA: Ingeniería inversa nativa (PE, ELF, Mach-O) y gestionada de .NET, backends duales headless de IDA Pro y Ghidra, recuperación de símbolos con GoReSym, renombrado automatizado de funciones/variables, exportación de espacio de trabajo de IA sin conexión, investigación autónoma en base de datos, informes multiformato (HTML, MD, PDF) y creación de casos MANTIS con 1 clic.
• Descargador masivo de muestras de VirusTotal: Descarga por lotes binarios de malware por MD5, SHA-1 o SHA-256 (hasta 50 hashes) directamente a carpetas locales mediante la API File System Access del navegador o crea ZIP cifrados con AES-256 protegidos por contraseña (infected), integrado con la monitorización VT Live Hunt.
• Conocimiento de amenazas: Explora actores de amenazas de MISP Galaxy, malware/herramientas, ransomware, Microsoft Activity Groups, grupos Tidal, proveedores de vigilancia, familias de Malpedia y perfiles de actores de Kaspersky TIP.
• Inteligencia MISP: Consulta una instancia MISP configurada como fuente de correlación contextual pasiva y de solo lectura para eventos de IOC, etiquetas, galaxias, avistamientos, listas de advertencia, informes e indicadores relacionados.
• Monitor de ransomware: Rastrea víctimas recientes, grupos, tendencias, países, notas de rescate, direcciones cripto, infraestructura y listas de vigilancia de RansomLook, Ransomware.live y notas de ThreatLabz.
• Ecosistema YARA: Explora repositorios YARA locales, escanea muestras, valida reglas, ejecuta pruebas de corpus/ruta/carga, guarda reglas del banco de trabajo y usa IA para explicar o corregir reglas.
• Motor de similitud: Construye entidades a partir de muestras, extrae características estáticas y opcionales de IDA/Hex-Rays, compara muestras, inspecciona funciones/bloques/patrones de API y ajusta umbrales.
• Artículos de CTI: Ingiere feeds RSS/CTI, extrae IOCs, gestiona categorías y fuentes, busca en el corpus local de artículos y solicita resúmenes de artículos con IA.
• Inteligencia de vulnerabilidades: Rastrea datos de CVE/PoC, contexto de CISA KEV, exploits públicos en tendencia e inteligencia de paquetes maliciosos de OSV.
• Kit de herramientas de Telegram: Monitoriza canales de Telegram con MTProto, analiza registros de stealers, rastrea la exposición de objetivos, gestiona investigaciones con tokens de bots y valida artefactos.
• Monitor de X: Recopila y filtra cuentas monitorizadas de X/Twitter y conversaciones de infosec para detectar IOC y vulnerabilidades emergentes.
• Vigilante de filtraciones: Agrega datos de DailyDarkWeb, RecentBreaches, DataBreach.watch, HaveIBeenPwned, DataBreaches.net, Infostealers Stats y Leak-Lookup.
• Inteligencia de hoy: Resumen diario de artículos de CTI, vulnerabilidades explotadas, PoCs, actividad de ransomware, señales sociales y salida opcional de informe/resumen con IA.

Arquitectura

flowchart LR
    classDef ui fill:#172033,stroke:#5b8cff,color:#ffffff
    classDef api fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef ext fill:#291b1b,stroke:#f87171,color:#ffe5e5

    User["Analyst"]:::ui --> UI["Frontend SPA<br/>index.html, app.js, ai.js, similarity.js, binary-lab.js, infra-hunt.js"]:::ui
    UI --> Search["IOC Search<br/>auto, hash, domain, IP, URL, keyword, infra"]:::ui
    UI --> Modules["Workbenches<br/>Threat Knowledge, Infra Hunt, Binary Lab, YARA, Similarity, CTI, Ransomware, Telegram, Breach, PoC, Downloader"]:::ui
    UI --> AIPanel["MANTIS AI Panel<br/>chat, pivots, agent, report, attribution"]:::ai

    Search --> API["FastAPI backend<br/>backend/main.py"]:::api
    Modules --> API
    AIPanel --> API

    API --> Intel["intel_query.py<br/>provider adapters and normalizers"]:::api
    API --> LocalEngines["Local engines<br/>Infra Hunt, Binary Lab, YARA, CTI DB, PoC index, Similarity, Ransomware, Telegram"]:::api
    API --> AIServices["AI services<br/>ai_service, ai_case_service, ai_case_agent"]:::ai

    Intel --> Providers["External passive providers<br/>VT, OTX, MISP, ThreatFox, URLScan, Shodan, Censys, GitHub, Twitter/X, RansomLook, Ransomware.live, ORKL, etc."]:::ext
    LocalEngines --> Stores["Local data<br/>SQLite, JSON catalogs, C2 playbooks, YARA repos, RSS cache, reports"]:::data
    AIServices --> AIStores["AI memory and cases<br/>case DB, audit trail, report files"]:::data

    Providers --> API
    Stores --> API
    AIStores --> API
    API --> UI

MANTIS AI

MANTIS AI no es un chatbot genérico añadido a la interfaz. Lee el contexto compacto de la página, los hallazgos del proveedor, los resultados actuales, el texto visible, el estado del caso y la evidencia seleccionada por el analista. A partir de ahí, puede razonar sobre la investigación activa preservando las barreras de seguridad pasivas/de solo lectura.

Capacidades de IA