MANTIS

MANTIS signifie Multi-source Analysis and Threat Intelligence Search. MANTIS est un poste de travail de renseignement sur les menaces pour l'enrichissement des IOC, la collecte CTI OSINT, la surveillance des rançongiciels et des fuites de données, les opérations YARA, l'analyse de similarité de malwares et les investigations assistées par IA.

Points forts

• Recherche IOC : Détection automatique ou recherche manuelle de hachages, domaines, IP, URL, mots-clés et cibles d'infrastructure.
• MANTIS AI : Chat conscient des preuves, résumés, recommandations de pivot, mode agent autonome, workflow de cas AEAD, scoring d'attribution, analyse de corrélation, assistance YARA, résumés CTI et exports de rapports.
• Infrastructure Hunting (Infra Hunt & C2 Catalog) : Pivotez depuis n'importe quelle graine (IP, domaine, ASN, CIDR, SHA-256 de certificat) vers l'infrastructure adverse. Extrait JA4/JARM, certificats TLS, MMH3 de favicon et en-têtes HTTP ; croise plus de 1 000 playbooks C2 sélectionnés (Cobalt Strike, Sliver, Havoc, Metasploit, etc.) ; corrèle via Shodan, Censys, FOFA, Netlas, URLScan, Silent Push, Driftnet, Validin et Etugen ; note les candidats avec la vérification anti-bruit GreyNoise, visualisation graphique interactive et récurrence planifiée.
• AI Binary Analysis Lab : Rétro-ingénierie native (PE, ELF, Mach-O) et managée .NET, doubles backends headless IDA Pro et Ghidra, récupération de symboles GoReSym, renommage automatisé des fonctions/variables, export d'espace de travail IA hors ligne, investigation autonome en base de données, rapports multi-formats (HTML, MD, PDF) et création de cas MANTIS en 1 clic.
• VirusTotal Bulk Samples Downloader : Téléchargement par lots de binaires malveillants par MD5, SHA-1 ou SHA-256 (jusqu'à 50 hachages) directement dans des dossiers locaux via l'API File System Access du navigateur ou création de ZIP chiffrés AES-256 protégés par mot de passe (infected), intégré à la surveillance VT Live Hunt.
• Threat Knowledge : Parcourez les acteurs de menaces MISP Galaxy, malwares/outils, rançongiciels, Microsoft Activity Groups, groupes Tidal, fournisseurs de surveillance, familles Malpedia et profils d'acteurs Kaspersky TIP.
• MISP Intelligence : Interrogez une instance MISP configurée comme source de corrélation contextuelle passive et en lecture seule pour les événements IOC, tags, galaxies, sightings, listes d'avertissement, rapports et indicateurs associés.
• Ransomware Monitor : Suivez les victimes récentes, groupes, tendances, pays, notes de rançon, adresses crypto, infrastructure et listes de surveillance depuis RansomLook, Ransomware.live et les notes ThreatLabz.
• YARA Ecosystem : Explorez les dépôts YARA locaux, scannez des échantillons, validez des règles, exécutez des tests corpus/chemin/upload, enregistrez des règles de poste de travail et utilisez l'IA pour expliquer ou corriger des règles.
• Similarity Engine : Construisez des entités à partir d'échantillons, extrayez des caractéristiques statiques et optionnelles IDA/Hex-Rays, comparez des échantillons, inspectez les fonctions/blocs/patterns d'API et ajustez les seuils.
• CTI Articles : Ingérez des flux RSS/CTI, extrayez des IOC, gérez catégories et sources, recherchez dans le corpus d'articles local et demandez des résumés d'articles par IA.
• Vulnerability Intelligence : Suivez les données CVE/PoC, le contexte CISA KEV, les exploits publics tendance et le renseignement sur les paquets malveillants OSV.
• Telegram Toolkit : Surveillez les canaux Telegram avec MTProto, analysez les journaux de stealers, suivez l'exposition des cibles, gérez les investigations par bot-token et validez les artefacts.
• X Monitor : Collectez et filtrez les comptes X/Twitter surveillés et les discussions infosec pour détecter les IOC et vulnérabilités émergents.
• Breach Watcher : Agrégez les données de DailyDarkWeb, RecentBreaches, DataBreach.watch, HaveIBeenPwned, DataBreaches.net, Infostealers Stats et Leak-Lookup.
• Today's Intelligence : Récapitulatif quotidien des articles CTI, vulnérabilités exploitées, PoC, activité de rançongiciels, signaux sociaux et sortie optionnelle de brief/rapport IA.

Architecture

flowchart LR
    classDef ui fill:#172033,stroke:#5b8cff,color:#ffffff
    classDef api fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef ext fill:#291b1b,stroke:#f87171,color:#ffe5e5

    User["Analyst"]:::ui --> UI["Frontend SPA<br/>index.html, app.js, ai.js, similarity.js, binary-lab.js, infra-hunt.js"]:::ui
    UI --> Search["IOC Search<br/>auto, hash, domain, IP, URL, keyword, infra"]:::ui
    UI --> Modules["Workbenches<br/>Threat Knowledge, Infra Hunt, Binary Lab, YARA, Similarity, CTI, Ransomware, Telegram, Breach, PoC, Downloader"]:::ui
    UI --> AIPanel["MANTIS AI Panel<br/>chat, pivots, agent, report, attribution"]:::ai

    Search --> API["FastAPI backend<br/>backend/main.py"]:::api
    Modules --> API
    AIPanel --> API

    API --> Intel["intel_query.py<br/>provider adapters and normalizers"]:::api
    API --> LocalEngines["Local engines<br/>Infra Hunt, Binary Lab, YARA, CTI DB, PoC index, Similarity, Ransomware, Telegram"]:::api
    API --> AIServices["AI services<br/>ai_service, ai_case_service, ai_case_agent"]:::ai

    Intel --> Providers["External passive providers<br/>VT, OTX, MISP, ThreatFox, URLScan, Shodan, Censys, GitHub, Twitter/X, RansomLook, Ransomware.live, ORKL, etc."]:::ext
    LocalEngines --> Stores["Local data<br/>SQLite, JSON catalogs, C2 playbooks, YARA repos, RSS cache, reports"]:::data
    AIServices --> AIStores["AI memory and cases<br/>case DB, audit trail, report files"]:::data

    Providers --> API
    Stores --> API
    AIStores --> API
    API --> UI

MANTIS AI

MANTIS AI n'est pas un chatbot générique greffé sur l'interface. Il lit le contexte compact de la page, les résultats des fournisseurs, les résultats actuels, le texte visible, l'état du dossier et les preuves sélectionnées par l'analyste. Il peut ensuite raisonner sur l'investigation active tout en préservant les garde-fous passifs/en lecture seule.

Capacités de l'IA