MANTIS

MANTIS significa Multi-source Analysis and Threat Intelligence Search. MANTIS é uma bancada de trabalho de threat intelligence para enriquecimento de IOC, coleta de CTI via OSINT, monitoramento de ransomware e vazamentos, operações com YARA, análise de similaridade de malware e investigações assistidas por IA.

Destaques

• Busca de IOC: Detecção automática ou busca manual de hashes, domínios, IPs, URLs, palavras-chave e alvos de infraestrutura.
• MANTIS AI: Chat com reconhecimento de evidências, resumos, recomendações de pivô, modo agente autônomo, fluxo de trabalho de casos AEAD, pontuação de atribuição, análise de correlação, assistência em YARA, resumos de CTI e exportação de relatórios.
• Caça a Infraestrutura (Infra Hunt & C2 Catalog): Pivote a partir de qualquer semente (IP, domínio, ASN, CIDR, SHA-256 de certificado) para a infraestrutura do adversário. Extrai JA4/JARM, certificados TLS, favicon MMH3 e cabeçalhos HTTP; faz referência cruzada com mais de 1.000 playbooks de C2 curados (Cobalt Strike, Sliver, Havoc, Metasploit, etc.); correlaciona entre Shodan, Censys, FOFA, Netlas, URLScan, Silent Push, Driftnet, Validin e Etugen; pontua candidatos com verificação antirruído do GreyNoise, visualização gráfica interativa e recorrência agendada.
• Laboratório de Análise Binária com IA: Engenharia reversa nativa (PE, ELF, Mach-O) e gerenciada de .NET, backends duplos headless de IDA Pro e Ghidra, recuperação de símbolos com GoReSym, renomeação automatizada de funções/variáveis, exportação de workspace de IA offline, investigação autônoma no banco de dados, relatórios em múltiplos formatos (HTML, MD, PDF) e criação de caso MANTIS com 1 clique.
• Baixador em Massa de Amostras do VirusTotal: Download em lote de binários de malware por MD5, SHA-1 ou SHA-256 (até 50 hashes) diretamente para pastas locais via API File System Access do navegador ou criação de ZIPs criptografados com AES-256 protegidos por senha (infected), integrado ao monitoramento VT Live Hunt.
• Conhecimento de Ameaças: Navegue por atores de ameaça do MISP Galaxy, malware/ferramentas, ransomware, Microsoft Activity Groups, grupos Tidal, fornecedores de vigilância, famílias Malpedia e perfis de atores do Kaspersky TIP.
• Inteligência MISP: Consulte uma instância MISP configurada como fonte passiva e somente leitura de correlação contextual para eventos de IOC, tags, galáxias, sightings, listas de aviso, relatórios e indicadores relacionados.
• Monitor de Ransomware: Acompanhe vítimas recentes, grupos, tendências, países, notas de resgate, endereços de criptomoedas, infraestrutura e watchlists do RansomLook, Ransomware.live e notas do ThreatLabz.
• Ecossistema YARA: Explore repositórios YARA locais, escaneie amostras, valide regras, execute testes de corpus/caminho/upload, salve regras da bancada de trabalho e use IA para explicar ou corrigir regras.
• Motor de Similaridade: Construa entidades a partir de amostras, extraia características estáticas e opcionais de IDA/Hex-Rays, compare amostras, inspecione funções/blocos/padrões de API e ajuste limites.
• Artigos de CTI: Ingira feeds RSS/CTI, extraia IOCs, gerencie categorias e fontes, pesquise o corpus local de artigos e solicite resumos de artigos por IA.
• Inteligência de Vulnerabilidades: Acompanhe dados de CVE/PoC, contexto do CISA KEV, exploits públicos em tendência e inteligência de pacotes maliciosos do OSV.
• Kit de Ferramentas Telegram: Monitore canais do Telegram com MTProto, analise logs de stealer, acompanhe a exposição de alvos, gerencie investigações de bot-token e valide artefatos.
• Monitor X: Colete e filtre contas monitoradas do X/Twitter e conversas de infosec para leads emergentes de IOC e vulnerabilidades.
• Vigia de Vazamentos: Agregue dados do DailyDarkWeb, RecentBreaches, DataBreach.watch, HaveIBeenPwned, DataBreaches.net, Infostealers Stats e Leak-Lookup.
• Inteligência do Dia: Consolidação diária de artigos de CTI, vulnerabilidades exploradas, PoCs, atividade de ransomware, sinais sociais e saída opcional de briefing/relatório por IA.

Arquitetura

flowchart LR
    classDef ui fill:#172033,stroke:#5b8cff,color:#ffffff
    classDef api fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef ext fill:#291b1b,stroke:#f87171,color:#ffe5e5

    User["Analyst"]:::ui --> UI["Frontend SPA<br/>index.html, app.js, ai.js, similarity.js, binary-lab.js, infra-hunt.js"]:::ui
    UI --> Search["IOC Search<br/>auto, hash, domain, IP, URL, keyword, infra"]:::ui
    UI --> Modules["Workbenches<br/>Threat Knowledge, Infra Hunt, Binary Lab, YARA, Similarity, CTI, Ransomware, Telegram, Breach, PoC, Downloader"]:::ui
    UI --> AIPanel["MANTIS AI Panel<br/>chat, pivots, agent, report, attribution"]:::ai

    Search --> API["FastAPI backend<br/>backend/main.py"]:::api
    Modules --> API
    AIPanel --> API

    API --> Intel["intel_query.py<br/>provider adapters and normalizers"]:::api
    API --> LocalEngines["Local engines<br/>Infra Hunt, Binary Lab, YARA, CTI DB, PoC index, Similarity, Ransomware, Telegram"]:::api
    API --> AIServices["AI services<br/>ai_service, ai_case_service, ai_case_agent"]:::ai

    Intel --> Providers["External passive providers<br/>VT, OTX, MISP, ThreatFox, URLScan, Shodan, Censys, GitHub, Twitter/X, RansomLook, Ransomware.live, ORKL, etc."]:::ext
    LocalEngines --> Stores["Local data<br/>SQLite, JSON catalogs, C2 playbooks, YARA repos, RSS cache, reports"]:::data
    AIServices --> AIStores["AI memory and cases<br/>case DB, audit trail, report files"]:::data

    Providers --> API
    Stores --> API
    AIStores --> API
    API --> UI

MANTIS AI

O MANTIS AI não é um chatbot genérico acoplado à interface. Ele lê o contexto compacto da página, os achados dos provedores, os resultados atuais, o texto visível, o estado do caso e as evidências selecionadas pelo analista. Ele pode então raciocinar sobre a investigação ativa, preservando as proteções passivas/somente leitura.

Capacidades de IA

• Assist: Faça perguntas sobre o conjunto de resultados atual ou a página de investigação.
• Summarize Findings: Converta cartões brutos de provedores em notas concisas para o analista.
• Recommend Pivots: Classifique ações de acompanhamento passivas e suprima pivôs ruidosos.
• Compare Relationship: Correlacione entidades e evidências com tratamento de sobreposição/contradição.
• Attribution: Pontue a atribuição de candidatos a ator/grupo com categorias de evidência, contradições, evidências ausentes e faixas de confiança.
• Agent Investigation: Execute a seleção autônoma e limitada de próximos passos por meio de ações aprovadas no frontend.
• AEAD Case Run: Execute Acquire, Enrich, Discover/Pivot, Analyze e Deliver sobre as evidências do caso.
• Report Drafting: Crie relatórios de caso, exportações Markdown, exportações JSON, relatórios HTML salvos e ZIPs portáteis de workspace de IA.
• YARA Assistant: Explique regras, analise erros de validação, sugira correções, corrija automaticamente problemas de sintaxe seguros e revise resultados de testes.
• CTI AI: Resuma artigos de CTI e produza briefings/relatórios de IA do Today's Intelligence.
• Audit and Safety: Armazene decisões de ferramentas, estado de aprovação, metadados de operação e pivôs suprimidos.

Fluxo de trabalho AEAD