MANTIS

MANTIS는 Multi-source Analysis and Threat Intelligence Search의 약자입니다. MANTIS는 IOC 보강, OSINT CTI 수집, 랜섬웨어 및 유출 모니터링, YARA 운영, 악성코드 유사도 분석, AI 지원 조사를 위한 위협 인텔리전스 워크벤치입니다.

주요 기능

• IOC 검색: 해시, 도메인, IP, URL, 키워드, 인프라 대상을 자동 감지하거나 수동으로 검색합니다.
• MANTIS AI: 증거 인식 채팅, 요약, 피벗 권장 사항, 자율 에이전트 모드, AEAD 사례 워크플로, 귀속 점수 산정, 상관 분석, YARA 지원, CTI 요약, 보고서 내보내기.
• 인프라 헌팅 (Infra Hunt & C2 Catalog): 모든 시드(IP, 도메인, ASN, CIDR, 인증서 SHA-256)에서 적대자 인프라로 피벗합니다. JA4/JARM, TLS 인증서, favicon MMH3, HTTP 헤더를 추출하고, 1,000개 이상의 선별된 C2 플레이북(Cobalt Strike, Sliver, Havoc, Metasploit 등)과 교차 참조하며, Shodan, Censys, FOFA, Netlas, URLScan, Silent Push, Driftnet, Validin, Etugen 전반에 걸쳐 상관 분석을 수행합니다. GreyNoise 안티노이즈 검증으로 후보의 점수를 산정하고, 대화형 그래프 시각화와 예약 반복 실행을 제공합니다.
• AI 바이너리 분석 랩: 네이티브(PE, ELF, Mach-O) 및 관리형 .NET 리버스 엔지니어링, 이중 헤드리스 IDA Pro 및 Ghidra 백엔드, GoReSym 심볼 복구, 자동 함수/변수 이름 변경, 오프라인 AI 워크스페이스 내보내기, 데이터베이스 내 자율 조사, 다중 형식 보고(HTML, MD, PDF), 원클릭 MANTIS 사례 생성.
• VirusTotal 대량 샘플 다운로더: MD5, SHA-1 또는 SHA-256(최대 50개 해시)으로 악성코드 바이너리를 브라우저 File System Access API를 통해 로컬 폴더로 직접 일괄 다운로드하거나, 비밀번호로 보호된 AES-256 암호화 ZIP(infected)을 생성하며, VT Live Hunt 모니터링과 통합됩니다.
• 위협 지식: MISP Galaxy 위협 행위자, 악성코드/도구, 랜섬웨어, Microsoft Activity Groups, Tidal 그룹, 감시 벤더, Malpedia 패밀리, Kaspersky TIP 행위자 프로필을 탐색합니다.
• MISP 인텔리전스: 구성된 MISP 인스턴스를 IOC 이벤트, 태그, 갤럭시, 사이트팅, 경고 목록, 보고서, 관련 지표에 대한 수동적이고 읽기 전용인 맥락적 상관 소스로 조회합니다.
• 랜섬웨어 모니터: RansomLook, Ransomware.live, ThreatLabz 노트에서 최근 피해자, 그룹, 추세, 국가, 몸값 요구 메모, 암호화폐 주소, 인프라, 워치리스트를 추적합니다.
• YARA 생태계: 로컬 YARA 저장소를 탐색하고, 샘플을 스캔하며, 규칙을 검증하고, 코퍼스/경로/업로드 테스트를 실행하며, 워크벤치 규칙을 저장하고, AI를 사용해 규칙을 설명하거나 수정합니다.
• 유사도 엔진: 샘플로부터 엔티티를 구축하고, 정적 및 선택적 IDA/Hex-Rays 특징을 추출하며, 샘플을 비교하고, 함수/블록/API 패턴을 검사하며, 임계값을 조정합니다.
• CTI 기사: RSS/CTI 피드를 수집하고, IOC를 추출하며, 카테고리와 소스를 관리하고, 로컬 기사 코퍼스를 검색하며, AI 기사 요약을 요청합니다.
• 취약점 인텔리전스: CVE/PoC 데이터, CISA KEV 맥락, 인기 있는 공개 익스플로잇, OSV 악성 패키지 인텔리전스를 추적합니다.
• Telegram 툴킷: MTProto로 Telegram 채널을 모니터링하고, 스틸러 로그를 파싱하며, 대상 노출을 추적하고, 봇 토큰 조사를 관리하며, 아티팩트를 검증합니다.
• X 모니터: 모니터링되는 X/Twitter 계정과 인포섹 담론을 수집 및 필터링하여 새로운 IOC 및 취약점 단서를 포착합니다.
• 유출 감시자: DailyDarkWeb, RecentBreaches, DataBreach.watch, HaveIBeenPwned, DataBreaches.net, Infostealers Stats, Leak-Lookup 데이터를 집계합니다.
• 오늘의 인텔리전스: CTI 기사, 악용된 취약점, PoC, 랜섬웨어 활동, 소셜 신호, 선택적 AI 브리핑/보고서 출력의 일일 요약.

아키텍처

flowchart LR
    classDef ui fill:#172033,stroke:#5b8cff,color:#ffffff
    classDef api fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef ext fill:#291b1b,stroke:#f87171,color:#ffe5e5

    User["Analyst"]:::ui --> UI["Frontend SPA<br/>index.html, app.js, ai.js, similarity.js, binary-lab.js, infra-hunt.js"]:::ui
    UI --> Search["IOC Search<br/>auto, hash, domain, IP, URL, keyword, infra"]:::ui
    UI --> Modules["Workbenches<br/>Threat Knowledge, Infra Hunt, Binary Lab, YARA, Similarity, CTI, Ransomware, Telegram, Breach, PoC, Downloader"]:::ui
    UI --> AIPanel["MANTIS AI Panel<br/>chat, pivots, agent, report, attribution"]:::ai

    Search --> API["FastAPI backend<br/>backend/main.py"]:::api
    Modules --> API
    AIPanel --> API

    API --> Intel["intel_query.py<br/>provider adapters and normalizers"]:::api
    API --> LocalEngines["Local engines<br/>Infra Hunt, Binary Lab, YARA, CTI DB, PoC index, Similarity, Ransomware, Telegram"]:::api
    API --> AIServices["AI services<br/>ai_service, ai_case_service, ai_case_agent"]:::ai

    Intel --> Providers["External passive providers<br/>VT, OTX, MISP, ThreatFox, URLScan, Shodan, Censys, GitHub, Twitter/X, RansomLook, Ransomware.live, ORKL, etc."]:::ext
    LocalEngines --> Stores["Local data<br/>SQLite, JSON catalogs, C2 playbooks, YARA repos, RSS cache, reports"]:::data
    AIServices --> AIStores["AI memory and cases<br/>case DB, audit trail, report files"]:::data

    Providers --> API
    Stores --> API
    AIStores --> API
    API --> UI

MANTIS AI

MANTIS AI는 UI에 덧붙여진 일반적인 챗봇이 아닙니다. 이는 간결한 페이지 컨텍스트, 프로바이더 결과, 현재 결과, 표시되는 텍스트, 케이스 상태, 분석가가 선택한 증거를 읽습니다. 그런 다음 수동/읽기 전용 가드레일을 유지하면서 활성 조사에 대해 추론할 수 있습니다.

AI 기능

• 지원(Assist): 현재 결과 집합 또는 조사 페이지에 대해 질문합니다.
• 발견 사항 요약(Summarize Findings): 원시 프로바이더 카드를 간결한 분석가 노트로 변환합니다.
• 피벗 추천(Recommend Pivots): 수동 후속 조치의 순위를 매기고 노이즈가 많은 피벗을 억제합니다.
• 관계 비교(Compare Relationship): 중복/모순 처리를 통해 엔티티와 증거를 상호 연관시킵니다.
• 귀속(Attribution): 증거 범주, 모순, 누락된 증거, 신뢰도 구간을 사용하여 후보 행위자/그룹 귀속 점수를 산정합니다.
• 에이전트 조사(Agent Investigation): 승인된 프런트엔드 작업을 통해 범위가 제한된 자율적 다음 단계 선택을 실행합니다.
• AEAD 케이스 실행(AEAD Case Run): 케이스 증거에 대해 수집(Acquire), 보강(Enrich), 발견/피벗(Discover/Pivot), 분석(Analyze), 전달(Deliver)을 실행합니다.
• 보고서 작성(Report Drafting): 케이스 보고서, Markdown 내보내기, JSON 내보내기, 저장된 HTML 보고서, 휴대용 AI 워크스페이스 ZIP을 생성합니다.
• YARA 지원(YARA Assistant): 규칙을 설명하고, 검증 오류를 분석하고, 수정 사항을 제안하고, 안전한 구문 문제를 자동 수정하고, 테스트 결과를 검토합니다.
• CTI AI: CTI 기사를 요약하고 오늘의 인텔리전스 AI 브리핑/보고서를 생성합니다.
• 감사 및 안전(Audit and Safety): 도구 결정, 승인 상태, 작업 메타데이터, 억제된 피벗을 저장합니다.

AEAD 워크플로

flowchart TD
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef guard fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef out fill:#172033,stroke:#5b8cff,color:#ffffff

    Start["Current page context<br/>indicator, visible results, provider cards"]:::out
    Start --> Acquire["Acquire<br/>sync case, store source snapshots, root artifact"]:::ai
    Acquire --> Enrich["Enrich<br/>normalize observations, claims, relationships, source health"]:::ai
    Enrich --> Discover["Discover<br/>candidate pivots from case evidence"]:::ai
    Discover --> Policy["Pivot policy<br/>reject placeholders, noisy infrastructure, over-depth, duplicates"]:::guard
    Policy -->|approved| Route["Resolve passive sources<br/>pivot registry + selected providers"]:::guard
    Policy -->|rejected| Audit["Pivot audit trail<br/>decision and reason"]:::data
    Route --> Execute["Execute source lookup<br/>_run_single_source"]:::ai
    Execute --> Store["Store evidence<br/>observations, timeline, normalized artifacts"]:::data
    Store --> Discover
    Store --> Analyze["Analyze<br/>contradictions, attribution support, confidence, gaps"]:::ai
    Analyze --> Deliver["Deliver<br/>assessment, report, JSON, HTML, AI workspace"]:::out

AI 워크스페이스 내보내기

Export AI Workspace는 코딩 에이전트와 사람의 검토를 위해 설계된 오프라인 케이스 번들을 다운로드합니다. 각 ZIP에는 AGENTS.md, CLAUDE.md 포인터, 정규화된 전체 case.json, 집중형 JSON 카탈로그, Markdown 보고서, 그리고 조사, 증거 검토, 피벗 계획, 위협 귀속, 보고서 작성을 위한 skills/*/SKILL.md 아래의 이식 가능한 워크플로가 포함됩니다. 귀속 워크플로는 구조화된 6개 범주 위협 귀속 증거 모델을 구현하며, 그 증거 범주와 주의 규칙을 MANTIS 케이스 데이터에 맞게 조정합니다. 내보내기에는 API 자격 증명이 포함되지 않으며, 해당 스킬은 능동적인 지표 접촉이나 근거 없는 보강 주장을 금지합니다.

수동 피벗 레지스트리

backend/ai_pivot_registry.py의 결정론적 레지스트리는 검증된 피벗 원형을 기존 제공자 어댑터에 매핑합니다. 현재 피벗 계열은 다음과 같습니다:

• 해시 피벗: 유사 샘플, 네트워크 IOC, YARA 매치, 패밀리 컨텍스트, 행위 시그니처, 실행 부모.
• 도메인 피벗: 패시브 DNS, 현재 IP, 인증서, 형제 도메인, 웹 평판, 위협 펄스.
• IP 피벗: 도메인, ASN/BGP, 인증서, 서비스/포트, 어뷰즈/노이즈, 위협 펄스.
• URL 피벗: URL 텔레메트리, 페이로드 해시, 리디렉션 체인.
• 인프라 피벗: ASN 인프라, CIDR 노출 호스트, 인증서 연결 인프라.
• Infrastructure Hunt Engine: 실행 전에 재사용 가능한 TLS/HTTP/DNS 지문을 미리 보기; Shodan, Censys, FOFA, Netlas, Silent Push, Driftnet으로 검색; Validin과 Etugen을 통해 피벗; GreyNoise로 후보 IP 검증; 그런 다음 클러스터를 점수화, 그래프화, 내보내기, 모니터링.
• 위협 행위자 피벗: 캠페인, 인프라, 랜섬웨어 피해자.
• 취약점 피벗: 익스플로잇/PoC 및 실제 공격에서의 악용.
• 악성코드/소셜 피벗: 패밀리 샘플, 소셜 언급, ThreatFox 및 MalwareBazaar 검사.

AI 바이너리 분석 랩