PHANTOM BRAIN v0.9

Strumento di analisi per penetration testing basato su AI offline con integrazione hardware reale

Analisi LLM locale (tramite Ollama) per WiFi, Sub-GHz, NFC/RFID e catture WPA2 — nessuna connessione internet richiesta, nessuna API cloud, 100% offline. Il LLM principale viene eseguito su un PC Windows. Il Raspberry Pi agisce come nodo secondario leggero (cattura live + solo phi3:mini).

Hardware supportato: Flipper Zero · WiFi Pineapple MK7 · Proxmark3 · Raspberry Pi 4 (Kali Linux) · Atheros AR9271

Modelli: mistral:7b-instruct · deepseek-r1:7b · phi3:mini

Licenza: GPL-3.0 | Autore: Otto | Comunità: AI Tinkerers

⚠️ Progetto sperimentale — non per uso produttivo. L'analisi AI assiste i ricercatori umani; non sostituisce il controllo manuale. Verifica sempre i risultati in modo indipendente.

Cosa Phantom Brain È e NON È

✅ Cosa È	❌ Cosa NON È
Analizzatore automatico che struttura i risultati delle catture	Un sostituto di Wireshark, bettercap o aircrack-ng
Generatore di report basato su AI (offline, LLM locale)	Un pentester autonomo
Orchestratore tra strumenti hardware (Flipper, Pineapple, Proxmark)	Uno strumento di sicurezza pronto per la produzione
Piattaforma di ricerca e apprendimento	Un sostituto per il controllo manuale
100% offline — nessuna esfiltrazione di dati	Dipendente dal cloud o da API

💡 Ogni report generato dall'AI dovrebbe essere considerato un punto di partenza, non un verdetto finale. I LLM possono allucinare vulnerabilità. L'output strutturato del parser (senza AI) è sempre più affidabile.

Architettura del Sistema

CAMPO (Mobile):
┌──────────────────┐
│  Flipper Zero    │ ──► Sub-GHz (.sub), NFC (.nfc), scansione WiFi
└──────────────────┘
┌──────────────────┐
│  WiFi Pineapple  │ ──► Handshake WPA2 (.pcap), deauth, PMKID
└──────────────────┘
┌──────────────────┐
│  Proxmark3       │ ──► RFID/NFC avanzato (EM410x, MIFARE, EMV)
└──────────────────┘

BASE — NODO PRIMARIO (richiesto per funzionalità completa):
┌──────────────────────────────────────────────────────┐
│  PC Windows (o desktop Linux)                        │
│  Python 3.11+ · Ollama · Flask API                  │
│  Esegue: mistral:7b-instruct, deepseek-r1:7b           │
│  ► CLI PHANTOM BRAIN, analisi completa, report       │
└──────────────────────────────────────────────────────┘

BASE — NODO SECONDARIO (opzionale, leggero):
┌──────────────────────────────────────────────────────┐
│  Raspberry Pi 4 (Kali Linux)                         │
│  Ollama · Atheros AR9271                             │
│  Esegue: solo phi3:mini (mistral:7b troppo pesante per Pi) │
│  ► Cattura WiFi live · inferenza locale leggera      │
│  NOTA: si connette all'Ollama del PC per modelli pesanti│
└──────────────────────────────────────────────────────┘

⚠️ Nota sull'architettura: Il Raspberry Pi non esegue l'intero stack di Phantom Brain in modo autonomo. Per un'analisi completa con mistral:7b-instruct o deepseek-r1:7b, è necessario un PC con Ollama. Il Pi funge da nodo di cattura e può eseguire phi3:mini solo per inferenza offline leggera.

Pipeline di Analisi (v0.9)

``` input → classificatore → tool.run() → ToolResult(rischio, risultati) → Ollama ```

Ogni tipo di cattura passa attraverso il suo tool specifico prima di raggiungere il LLM. Il tool struttura l'output con un livello di rischio e i risultati chiave, arricchendo il contesto inviato a Ollama.

Funzionalità

WiFi / Marauder

Parsing dei log Marauder
Rilevamento di reti WPS vulnerabili
Identificazione di reti nascoste
Statistiche di sicurezza

Sub-GHz / Flipper Zero

Parser file `.sub` (`sub_ghz_parser.py`)
Estrazione: protocollo, frequenza, chiavi, pacchetti
Supporto: Security+ 2.0, Rolling Code, Fixed Code
Analizzatore di pattern tra catture (`sub_ghz_analyzer.py`)

NFC / Flipper Zero + Proxmark3

Parser file `.nfc` (`nfc_parser.py`)
Supporto: MIFARE Classic 1K/4K, MIFARE Plus, NTAG, FeliCa, EMV
Analizzatore di vulnerabilità (`nfc_analyzer.py`)
Rilevamento: Darkside, Hardnested, Reader Auth Bypass
Analisi speciale per SUBE (trasporto pubblico)
Parser output Proxmark3 (`proxmark_parser.py`)

WPA2 / WiFi Pineapple

Parser PCAP con Scapy (`pcap_parser_v2.py`)
Estrazione: BSSID, SSID, frame EAPOL, PMKID
Validazione degli handshake completi
Pipeline completa: `hcxpcapngtool` → `hashcat -m 22000`

Sistema di Strumenti (v0.9)

`tools/base_tool.py` — contratto unificato `BaseTool` + `ToolResult`
`ToolResult` con `rischio` (CRITICO/ALTO/MEDIO/BASSO) e `risultati` strutturati
`tools/registry.py` — registro centrale, invia il tool corretto in base al tipo
`tools/classifier.py` — rilevamento automatico per estensione e contenuto
14/14 test superati con fixture reali (`pytest tests/test_tools.py`)

Database e Report

SQLite per la cronologia delle analisi (`db_manager.py`)
Report in testo semplice con timestamp
Ricerca per UID/BSSID, filtro per livello di rischio
Statistiche di analisi

API REST Flask

`flask_api.py` in esecuzione sulla porta 5000
`GET /status` — controlla Ollama e i modelli disponibili
`POST /upload` — riceve file `.pcap`, `.nfc`, `.sub`
`POST /analyze` — analizza con Ollama e salva in SQLite
`GET /analysis/` — recupera un'analisi salvata per ID

Modelli AI Supportati

Modello	RAM Minima	Storage	Velocità (CPU)	Ideale per	Nodo
`phi3:mini`	4 GB	~2.3 GB	~5 min	Triage rapido, inferenza leggera, funziona su Pi — profondità di ragionamento limitata	Raspberry Pi 4 / PC
`mistral:7b-instruct`	8 GB	~4.1 GB	~30 s (PC)	Predefinito raccomandato. Analisi completa, comandi precisi e attuabili, miglior rapporto accuratezza/velocità	Solo PC
`deepseek-r1:7b`	8 GB	~4.5 GB	~45 s (PC)	Analisi approfondita, passaggi di mitigazione dettagliati, ragionamento a catena di pensiero	Solo PC

Nota: I benchmark di velocità sono stati misurati su un PC con 32 GB di RAM (solo CPU, nessuna GPU). L'accelerazione GPU tramite CUDA/ROCm ridurrà significativamente il tempo di inferenza. Il Pi può eseguire solo phi3:mini in modo affidabile — mistral:7b causa throttling termico e OOM su Pi 4B 8GB.

Tutti i modelli funzionano 100% offline tramite Ollama — nessuna connessione internet richiesta.

Più Popolari

phantom-brain