PHANTOM BRAIN v0.9

⚠️ Proyecto experimental — no para uso en producción. El análisis con IA asiste al investigador humano; no reemplaza una auditoría manual. Siempre verifica los hallazgos de forma independiente.

Lo que ES y NO ES Phantom Brain

✅ Lo que ES	❌ Lo que NO ES
Analizador automático que estructura hallazgos de capturas	Un reemplazo de Wireshark, bettercap o aircrack-ng
Generador de reportes con IA (offline, LLM local)	Un pentester autónomo
Orquestador entre herramientas hardware (Flipper, Pineapple, Proxmark)	Una herramienta de seguridad lista para producción
Plataforma de investigación y aprendizaje	Un sustituto de auditoría manual
100% offline — sin exfiltración de datos	Dependiente de la nube o APIs

💡 Cada reporte generado por IA debe tratarse como un punto de partida, no como un veredicto final. Los LLM pueden alucinar vulnerabilidades. La salida estructurada de los parsers (sin IA) es siempre más confiable.

Offline AI-powered pentesting analysis tool with real hardware integration

Local LLM analysis (via Ollama) for WiFi, Sub-GHz, NFC/RFID and WPA2 captures — no internet required, no cloud APIs, 100% offline. El LLM principal corre en una PC con Windows. La Raspberry Pi actúa como nodo secundario liviano (captura en vivo + phi3:mini únicamente).

Hardware supported: Flipper Zero · WiFi Pineapple MK7 · Proxmark3 · Raspberry Pi 4 (Kali Linux) · Atheros AR9271

Models: mistral:7b-instruct · deepseek-r1:7b · phi3:mini

License: GPL-3.0 | Author: Otto | Community: AI Tinkerers

---

PHANTOM BRAIN v0.9

Sistema de Análisis Ofensivo Offline con IA y Hardware Real

Herramienta modular de pentesting que integra análisis de seguridad para WiFi, Sub-GHz, NFC/RFID y WPA2 usando IA local (Ollama). Sin APIs externas, 100% offline.

---

Arquitectura del Sistema

CAMPO (Móvil):
┌──────────────────┐
│  Flipper Zero    │ ──► Sub-GHz (.sub), NFC (.nfc), WiFi scanning
└──────────────────┘
┌──────────────────┐
│  WiFi Pineapple  │ ──► WPA2 Handshakes (.pcap), deauth, PMKID
└──────────────────┘
┌──────────────────┐
│  Proxmark3       │ ──► RFID/NFC avanzado (EM410x, MIFARE, EMV)
└──────────────────┘

BASE — NODO PRINCIPAL (requerido para funcionalidad completa):
┌──────────────────────────────────────────────────────┐
│  PC con Windows (o Linux de escritorio)              │
│  Python 3.11+ · Ollama · Flask API                  │
│  Modelos: mistral:7b-instruct, deepseek-r1:7b        │
│  ► PHANTOM BRAIN CLI, análisis completo, reportes    │
└──────────────────────────────────────────────────────┘

BASE — NODO SECUNDARIO (opcional, liviano):
┌──────────────────────────────────────────────────────┐
│  Raspberry Pi 4 (Kali Linux)                         │
│  Ollama · Atheros AR9271                             │
│  Solo corre: phi3:mini (mistral:7b es demasiado pesado para la Pi) │
│  ► Captura WiFi en vivo · inferencia local liviana   │
│  NOTA: se conecta al Ollama de la PC para modelos pesados │
└──────────────────────────────────────────────────────┘

⚠️ Nota de arquitectura: La Raspberry Pi no ejecuta el stack completo de Phantom Brain de forma autónoma. Para análisis completo con mistral:7b-instruct o deepseek-r1:7b, se requiere una PC con Ollama. La Pi funciona como nodo de captura y puede correr phi3:mini para inferencia liviana offline únicamente.

Pipeline de Análisis (v0.9)

input → classifier → tool.run() → ToolResult(risk, findings) → Ollama

Cada tipo de captura pasa por su tool específico antes de llegar al LLM. El tool estructura el resultado con nivel de riesgo y hallazgos clave, enriqueciendo el contexto que recibe Ollama.

---

Features

WiFi / Marauder

• Parser de logs Marauder
• Detección de redes WPS vulnerables
• Identificación de redes ocultas
• Estadísticas de seguridad

Sub-GHz / Flipper Zero

• Parser de archivos .sub (sub_ghz_parser.py)
• Extracción: protocolo, frecuencia, keys, packets
• Soporta: Security+ 2.0, Rolling Code, Fixed Code
• Analyzer de patrones entre capturas (sub_ghz_analyzer.py)

NFC / Flipper Zero + Proxmark3

• Parser de archivos .nfc (nfc_parser.py)
• Soporta: MIFARE Classic 1K/4K, MIFARE Plus, NTAG, FeliCa, EMV
• Analyzer de vulnerabilidades (nfc_analyzer.py)
• Detección: Darkside, Hardnested, Reader Auth Bypass
• Análisis especial para SUBE (transporte público)
• Parser de output Proxmark3 (proxmark_parser.py)

WPA2 / WiFi Pineapple

• Parser PCAP con Scapy (pcap_parser_v2.py)
• Extracción: BSSID, SSID, frames EAPOL, PMKID
• Validación de handshakes completos
• Pipeline completo: hcxpcapngtool → hashcat -m 22000

Sistema de Tools (nuevo en v0.9)

• tools/base_tool.py — contrato unificado BaseTool + ToolResult
• ToolResult con campos risk (CRITICO/ALTO/MEDIO/BAJO) y findings estructurados
• tools/registry.py — registro central, despacha el tool correcto por tipo
• tools/classifier.py — auto-detección de tipo por extensión y contenido
• 14/14 tests pasando con fixtures reales (pytest tests/test_tools.py)

Base de Datos y Reportes

• SQLite para historial de análisis (db_manager.py)
• Reportes en texto plano con timestamp
• Búsqueda por UID/BSSID, filtro por nivel de riesgo
• Estadísticas de análisis

Flask API REST

• flask_api.py operativo en puerto 5000
• GET /status — verifica Ollama y modelos disponibles
• POST /upload — recibe archivos .pcap, .nfc, .sub
• POST /analyze — analiza con Ollama y guarda en SQLite
• GET /analysis/<id> — consulta análisis guardado por ID

---

Modelos IA Soportados

Modelo	RAM mínima	Almacenamiento	Velocidad (CPU)	Ideal para	Nodo
phi3:mini	4 GB	~2.3 GB	~5 min	Triage rápido, inferencia liviana, funciona en Pi — razonamiento limitado	Raspberry Pi / PC
mistral:7b-instruct	8 GB	~4.1 GB	~30 s (PC)	Recomendado. Análisis completo, comandos precisos y accionables, mejor ratio calidad/velocidad	Solo PC
deepseek-r1:7b	8 GB	~4.5 GB	~45 s (PC)	Análisis en profundidad, pasos de mitigación detallados, razonamiento paso a paso	Solo PC

Nota: Benchmarks medidos en PC con 32 GB RAM (solo CPU, sin GPU). La aceleración por GPU (CUDA/ROCm) reduce significativamente los tiempos. La Pi solo puede correr phi3:mini de forma estable — mistral:7b causa throttling térmico y OOM en Pi 4B 8GB.

Todos ejecutan 100% offline con Ollama.

---

Estructura de Archivos