IRFlow Timeline

Análisis forense de líneas de tiempo nativo para macOS. Importa, busca e investiga artefactos EVTX, CSV, XLSX, Plaso, $MFT, $J y de asistentes de IA locales — con AI Secret Hunt y los análisis que los profesionales de DFIR realmente necesitan. Construido sobre Electron + SQLite para manejar millones de filas sin despeinarse.

Inspirado en Timeline Explorer de Eric Zimmerman para Windows.

Características principales

• AI Artifacts — Recopila el historial de IA local de Claude Code, Codex, ChatGPT Desktop, Gemini CLI, Cursor, Copilot, Windsurf y Continue en una sola pestaña de línea de tiempo; AI Secret Hunt para claves, tokens y credenciales expuestos
• Raw NTFS Artifact Import — Ingestión directa de $MFT y $UsnJrnl ($J) con reconstrucción completa de rutas, marcas de tiempo SI/FN y mapeo de razones de cambio
• Ransomware Analytics — Análisis automatizado de impacto a partir de los datos de $MFT: detección de renombrados masivos, análisis de extensiones basado en entropía, identificación de notas de rescate y agrupamiento temporal
• VirusTotal Enrichment — Coincidencia de IOC con consultas VT masivas, extracción de familias de malware, insignias de veredicto, pivoteo de relaciones y caché local
• Process Inspector — Análisis del árbol de procesos padre-hijo con más de 340 reglas de detección de MITRE ATT&CK
• Lateral Movement Tracker — Visualización de inicios de sesión de red y sesiones RDP como grafos interactivos dirigidos por fuerza
• RDP Bitmap Cache Recovery — Recupera artefactos bcache*.bmc y cache????.bin con bmc-tools incluido, previsualiza imágenes y exporta paquetes de evidencia
• Persistence Analyzer — Más de 30 técnicas de persistencia con detección de cadenas de cuentas, correlación entre técnicas y reensamblado de bloques de script de PowerShell 4104
• IOC Matching — Más de 17 categorías de indicadores con auto-defanging, resaltado en línea y exportación CSV/HTML con datos de enriquecimiento de VT

Para la lista completa de funciones y la documentación, visita la documentación de IRFlow Timeline.

Compilación desde el código fuente

Requisitos previos (solo para desarrolladores):

• Node.js 18+: brew install node
• Xcode CLI tools: xcode-select --install (para la compilación de módulos nativos)
• macOS 12+ (Monterey o posterior)

git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3

# Development (hot-reload)
npm run dev

# Build + launch
npm run start

# Package as universal DMG
npm run dist:universal

Salida en release/.

Créditos y agradecimientos

Inspirado en Timeline Explorer de Eric Zimmerman.

Proyectos de código abierto

Comunidad DFIR

• Eric Zimmerman -- Timeline Explorer para Windows, la inspiración original de este proyecto
• log2timeline/Plaso -- Framework de generación de superlíneas de tiempo de Kristinn Gudjonsson y colaboradores
• SANS DFIR -- Formación y recursos comunitarios de DFIR
• The DFIR Report -- Informes de análisis de intrusiones reales que sirvieron de base para los patrones de detección de amenazas
• CyberCX -- Investigación de NTFS $UsnJrnl que sirvió de base para la implementación del análisis de $J

Probadores beta

Agradecimientos a las siguientes personas por probar y aportar sus comentarios:

• Maddy Keller
• Omar Jbari
• Nicolas Bareil
• Dominic Rathmann
• Chip Riley

Licencia

Apache-2.0