theevidencehunter/forensixFramework de Inteligencia Forense Digital
███████╗ ██████╗ ██████╗ ███████╗███╗ ██╗███████╗██╗██╗ ██╗
██╔════╝██╔═══██╗██╔══██╗██╔════╝████╗ ██║██╔════╝██║╚██╗██╔╝
█████╗ ██║ ██║██████╔╝█████╗ ██╔██╗ ██║███████╗██║ ╚███╔╝
██╔══╝ ██║ ██║██╔══██╗██╔══╝ ██║╚██╗██║╚════██║██║ ██╔██╗
██║ ╚██████╔╝██║ ██║███████╗██║ ╚████║███████║██║██╔╝ ██╗
╚═╝ ╚═════╝ ╚═╝ ╚═╝╚══════╝╚═╝ ╚═══╝╚══════╝╚═╝╚═╝ ╚═╝
El problema que resuelve ForensiX: Ninguna herramienta CLI de código abierto existente unifica el cálculo de múltiples hashes, la forensia de marcas de tiempo MACB, la clasificación profunda de cadenas, el escaneo de patrones estilo YARA, la detección de esteganografía, la adquisición de sistemas en vivo, el análisis de imágenes de disco y la generación de informes listos para uso judicial, todo en un único script de Python portátil con cero dependencias externas.
| Característica | Descripción |
|---|---|
hash | Hash multi-algoritmo (MD5/SHA1/SHA256/SHA512/SHA3/BLAKE2) + verificación de manipulación |
meta | Marcas de tiempo MACB, análisis de entropía, permisos, inodo, detección de discrepancias de extensión |
strings | Extracción de cadenas con clasificación automática: URLs, IPs, correos electrónicos, credenciales, JWT, claves AWS, direcciones onion, CVEs |
scan | Coincidencia de patrones estilo YARA: ransomware, shellcode, frameworks C2, webshells, criptomineros, volcadores de credenciales |
hex | Visor hexadecimal forense con control de desplazamiento/longitud y barra lateral ASCII |
steg | Detección de esteganografía mediante análisis de entropía, comprobación de marcadores EOF, detección de políglotas |
timeline | Reconstrucción de la línea de tiempo MACB a partir de archivos/directorios con filtrado por tiempo |
live | Adquisición de sistemas en vivo: procesos, conexiones de red, entorno |
disk | Análisis de imágenes de disco sin procesar: MBR, tabla de particiones, detección de sistema de archivos |
report | Informe forense completo en TXT / JSON / HTML / CSV (formato de cadena de custodia) |
# No se necesita instalación: solo biblioteca estándar de Python
python3 forensix.py --help
# O hazlo ejecutable
chmod +x forensix.py
./forensix.py --help
python3 forensix.py hash malware.exe
python3 forensix.py hash malware.exe --verify d41d8cd98f00b204e9800998ecf8427e
python3 forensix.py meta evidence.jpg
python3 forensix.py meta suspicious.dll --output meta_report.html --format html
python3 forensix.py strings payload.bin --limit 100
python3 forensix.py strings memory_dump.raw --all --output strings.json --format json
python3 forensix.py scan dropper.exe
python3 forensix.py scan webshell.php --output threat_report.html --format html
python3 forensix.py hex file.bin --offset 0x100 --length 1024
python3 forensix.py steg image.jpg logo.png photo.bmp
python3 forensix.py timeline /var/log /home/user
python3 forensix.py timeline /incident --start 2024-06-01 --end 2024-06-15 --limit 200
python3 forensix.py live
python3 forensix.py live --output live_snapshot.json --format json
python3 forensix.py disk drive.dd
python3 forensix.py disk evidence.img --output disk_analysis.html --format html
python3 forensix.py report suspect.exe --format html --output case_001_report.html
python3 forensix.py report evidence.zip --format json --output case_001.json
Solo biblioteca estándar de Python 3.8+. Sin instalaciones pip. Sin compilación. Colócalo en cualquier sistema y ejecútalo.
Otras herramientas (strings, binwalk) vuelcan cadenas sin procesar. ForensiX las clasifica automáticamente en más de 15 categorías forenses con filtrado de falsos positivos.
Genera informes de cadena de custodia con formato legal en TXT, JSON, HTML y CSV. Ninguna otra herramienta CLI de código abierto hace esto de serie.
Detecta datos ocultos mediante análisis estadístico de entropía y validación de estructura de archivos, sin necesidad de bibliotecas externas.
Cada escaneo de archivo incluye el cálculo de entropía a nivel de byte clasificada en niveles forenses significativos.
| Regla | Gravedad | Qué detecta |
|---|---|---|
| RANSOMWARE_STRINGS | CRITICAL | Notas de rescate, cadenas de cifrado, demandas de pago |
| SHELLCODE_INDICATORS | HIGH | Deslizamientos NOP, puntos de interrupción INT3, APIs de inyección de memoria |
| CREDENTIAL_DUMP | CRITICAL | Mimikatz, acceso a LSASS, referencias NTLM/SAM |
| PERSISTENCE_MECHANISMS | HIGH | Claves de ejecución del registro, trabajos cron, tareas programadas |
| NETWORK_TOOLS | CRITICAL | Cobalt Strike, Metasploit, Sliver, Havoc C2 |
| ANTI_FORENSICS | HIGH | Borrado de registros, timestomping, eliminación segura |
| CRYPTO_MINERS | MEDIUM | XMRig, protocolo stratum, cadenas de pool de minería |
| WEBSHELL_INDICATORS | CRITICAL | eval/exec de PHP, patrones de inyección de comandos |
| Formato | Mejor para |
|---|---|
txt | Lectura humana, documentación judicial |
json | Integración con SIEM, procesamiento posterior |
html | Informes para compartir con las partes interesadas |
csv | Importación en hojas de cálculo, análisis de datos |
live en algunos sistemasAmeer Rasim
Informática forense y ciberseguridad
Licencia: MIT
ForensiX está diseñado únicamente para investigaciones forenses autorizadas. Úsalo solo en sistemas y archivos que poseas o para los que tengas permiso explícito por escrito para analizar. El autor no asume ninguna responsabilidad por el mal uso.