MANTIS

MANTIS sta per Multi-source Analysis and Threat Intelligence Search. MANTIS è un workbench di threat intelligence per l'arricchimento degli IOC, la raccolta OSINT CTI, il monitoraggio di ransomware e violazioni, le operazioni YARA, l'analisi di similarità tra malware e le indagini assistite dall'AI.

Punti salienti

• Ricerca IOC: rileva automaticamente o cerca manualmente hash, domini, IP, URL, parole chiave e target infrastrutturali.
• MANTIS AI: chat consapevole delle evidenze, riepiloghi, raccomandazioni di pivot, modalità agente autonomo, flusso di lavoro dei casi AEAD, scoring di attribuzione, analisi di correlazione, assistenza YARA, riepiloghi CTI ed esportazione di report.
• Infrastructure Hunting (Infra Hunt & C2 Catalog): esegui pivot da qualsiasi seed (IP, dominio, ASN, CIDR, SHA-256 di certificato) verso l'infrastruttura avversaria. Estrae JA4/JARM, certificati TLS, MMH3 del favicon e header HTTP; incrocia oltre 1.000 playbook C2 curati (Cobalt Strike, Sliver, Havoc, Metasploit, ecc.); correla tra Shodan, Censys, FOFA, Netlas, URLScan, Silent Push, Driftnet, Validin ed Etugen; assegna un punteggio ai candidati con la verifica anti-rumore di GreyNoise, visualizzazione grafica interattiva e ricorrenza pianificata.
• AI Binary Analysis Lab: reverse engineering nativo (PE, ELF, Mach-O) e gestito .NET, backend duali headless IDA Pro e Ghidra, recupero dei simboli con GoReSym, ridenominazione automatizzata di funzioni/variabili, esportazione offline del workspace AI, indagine autonoma nel database, reportistica multi-formato (HTML, MD, PDF) e creazione di casi MANTIS con 1 clic.
• VirusTotal Bulk Samples Downloader: download in batch di binari malware tramite MD5, SHA-1 o SHA-256 (fino a 50 hash) direttamente in cartelle locali tramite la File System Access API del browser oppure creazione di ZIP cifrati AES-256 protetti da password (infected), integrato con il monitoraggio VT Live Hunt.
• Threat Knowledge: consulta attori di minaccia MISP Galaxy, malware/strumenti, ransomware, Microsoft Activity Groups, gruppi Tidal, fornitori di sorveglianza, famiglie Malpedia e profili di attori Kaspersky TIP.
• MISP Intelligence: interroga un'istanza MISP configurata come fonte di correlazione contestuale passiva e in sola lettura per eventi IOC, tag, galaxy, sighting, warning list, report e indicatori correlati.
• Ransomware Monitor: monitora vittime recenti, gruppi, tendenze, paesi, note di riscatto, indirizzi crypto, infrastrutture e watchlist da RansomLook, Ransomware.live e note ThreatLabz.
• YARA Ecosystem: esplora repository YARA locali, scansiona campioni, valida regole, esegue test su corpus/percorsi/upload, salva regole del workbench e usa l'AI per spiegare o correggere le regole.
• Similarity Engine: costruisci entità dai campioni, estrai feature statiche e opzionali IDA/Hex-Rays, confronta campioni, ispeziona funzioni/blocchi/pattern API e regola le soglie.
• CTI Articles: importa feed RSS/CTI, estrai IOC, gestisci categorie e fonti, cerca nel corpus locale di articoli e richiedi riepiloghi AI degli articoli.
• Vulnerability Intelligence: monitora dati CVE/PoC, contesto CISA KEV, exploit pubblici in tendenza e intelligence sui pacchetti malevoli OSV.
• Telegram Toolkit: monitora canali Telegram con MTProto, analizza i log degli stealer, traccia l'esposizione dei target, gestisci indagini su bot-token e valida gli artefatti.
• X Monitor: raccogli e filtra account X/Twitter monitorati e conversazioni infosec per individuare nuovi IOC e vulnerabilità.
• Breach Watcher: aggrega dati da DailyDarkWeb, RecentBreaches, DataBreach.watch, HaveIBeenPwned, DataBreaches.net, Infostealers Stats e Leak-Lookup.
• Today's Intelligence: riepilogo giornaliero di articoli CTI, vulnerabilità sfruttate, PoC, attività ransomware, segnali social e output opzionale di brief/report AI.

Architettura

flowchart LR
    classDef ui fill:#172033,stroke:#5b8cff,color:#ffffff
    classDef api fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef ext fill:#291b1b,stroke:#f87171,color:#ffe5e5

    User["Analyst"]:::ui --> UI["Frontend SPA<br/>index.html, app.js, ai.js, similarity.js, binary-lab.js, infra-hunt.js"]:::ui
    UI --> Search["IOC Search<br/>auto, hash, domain, IP, URL, keyword, infra"]:::ui
    UI --> Modules["Workbenches<br/>Threat Knowledge, Infra Hunt, Binary Lab, YARA, Similarity, CTI, Ransomware, Telegram, Breach, PoC, Downloader"]:::ui
    UI --> AIPanel["MANTIS AI Panel<br/>chat, pivots, agent, report, attribution"]:::ai

    Search --> API["FastAPI backend<br/>backend/main.py"]:::api
    Modules --> API
    AIPanel --> API

    API --> Intel["intel_query.py<br/>provider adapters and normalizers"]:::api
    API --> LocalEngines["Local engines<br/>Infra Hunt, Binary Lab, YARA, CTI DB, PoC index, Similarity, Ransomware, Telegram"]:::api
    API --> AIServices["AI services<br/>ai_service, ai_case_service, ai_case_agent"]:::ai

    Intel --> Providers["External passive providers<br/>VT, OTX, MISP, ThreatFox, URLScan, Shodan, Censys, GitHub, Twitter/X, RansomLook, Ransomware.live, ORKL, etc."]:::ext
    LocalEngines --> Stores["Local data<br/>SQLite, JSON catalogs, C2 playbooks, YARA repos, RSS cache, reports"]:::data
    AIServices --> AIStores["AI memory and cases<br/>case DB, audit trail, report files"]:::data

    Providers --> API
    Stores --> API
    AIStores --> API
    API --> UI

MANTIS AI

MANTIS AI non è un chatbot generico aggiunto all'interfaccia. Legge il contesto compatto della pagina, i risultati dei provider, i risultati correnti, il testo visibile, lo stato del caso e le evidenze selezionate dall'analista. Può quindi ragionare sull'indagine attiva preservando le protezioni passive/di sola lettura.

Capacità AI

• Assist: porre domande sul set di risultati corrente o sulla pagina dell'indagine.
• Summarize Findings: convertire le schede grezze dei provider in note concise per l'analista.
• Recommend Pivots: classificare le azioni di follow-up passive e sopprimere i pivot rumorosi.
• Compare Relationship: correlare entità ed evidenze gestendo sovrapposizioni e contraddizioni.
• Attribution: valutare l'attribuzione candidata di attori/gruppi con categorie di evidenza, contraddizioni, evidenze mancanti e fasce di confidenza.
• Agent Investigation: eseguire una selezione autonoma e limitata dei passi successivi tramite azioni frontend approvate.
• AEAD Case Run: eseguire Acquire, Enrich, Discover/Pivot, Analyze e Deliver sulle evidenze del caso.
• Report Drafting: creare report di caso, esportazioni Markdown, esportazioni JSON, report HTML salvati e workspace AI portatili in ZIP.
• YARA Assistant: spiegare le regole, analizzare gli errori di validazione, suggerire correzioni, correggere automaticamente problemi di sintassi sicuri e rivedere i risultati dei test.
• CTI AI: riassumere articoli CTI e produrre brief/report AI di Today's Intelligence.
• Audit and Safety: memorizzare le decisioni degli strumenti, lo stato di approvazione, i metadati delle operazioni e i pivot soppressi.

Flusso di lavoro AEAD

flowchart TD
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef guard fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef out fill:#172033,stroke:#5b8cff,color:#ffffff