PHANTOMPRINT

Ferramenta de Análise Híbrida Passiva para Perfilagem Multiprotocolo Agnóstica de SO e Inteligência

Faça a impressão digital de hosts na sua rede sem enviar um único pacote.

O PHANTOMPRINT correlaciona múltiplos sinais passivos (pilha TCP/IP, TLS/JA4, Opção 55 do DHCP, HPACK HTTP/2, comportamento DNS) para identificar sistemas operacionais, navegadores e dispositivos a partir do tráfego observado apenas.

Por que PHANTOMPRINT?

Ferramenta	Impressão TCP/IP	TLS JA4	Impressão DHCP	Multissinal	Pontuação de Confiança
p0f	✅	❌	❌	❌	❌
Zeek	✅	plugin	❌	❌	❌
JA3er	❌	✅	❌	❌	❌
PHANTOMPRINT	✅	✅	✅	✅	✅

p0f não é mantido desde 2014. Zeek requer infraestrutura pesada. Nenhuma ferramenta correlaciona todos esses sinais em um perfil de host unificado e pontuado.

Como Funciona

Network Traffic
      │
      ├─── TCP SYN/SYN-ACK ──→ TCPIPParser  ──→ TTL + Window + Options hash
      ├─── TLS ClientHello  ──→ TLSParser    ──→ JA4 fingerprint
      ├─── DHCP DISCOVER    ──→ DHCPParser   ──→ Option 55 fingerprint
      └─── (HTTP/2, DNS)    ──→ [coming v1.5]
                                      │
                                 SignalMerger
                                      │
                            Bayesian Score Engine
                                      │
                               HostProfile
                          ┌──────────┴──────────┐
                       Terminal              JSON / STIX

Nenhum pacote é enviado. Nenhuma conexão é aberta. Totalmente passivo.

Instalação

git clone https://github.com/youruser/phantomprint
cd phantomprint
pip install -e ".[dev]"

Requer Python 3.11+ e root/CAP_NET_RAW para captura ao vivo.

Uso

Captura ao vivo

sudo phantomprint live -i eth0
sudo phantomprint live -i eth0 -t 60 -o results.json
sudo phantomprint live -i eth0 --verbose

Analisar um arquivo PCAP (não precisa de root)

phantomprint pcap capture.pcap
phantomprint pcap capture.pcap -o results.json

Listar assinaturas carregadas

phantomprint signatures
phantomprint signatures --category os
phantomprint signatures --category browser

Exemplo de Saída

◈ PHANTOMPRINT v0.1.0 — Results (4 hosts)

┌─────────────────┬──────────────────┬───────────────┬──────────────────────┬───────┐
│ Host / MAC      │ SO               │ Navegador / App │ Sinais              │ Pontuação │
├─────────────────┼──────────────────┼───────────────┼──────────────────────┼───────┤
│ 192.168.1.45    │ Windows 11       │ Chrome 120    │ TCP TLS DHCP         │  78%  │
│ 192.168.1.12    │ Linux 6.x        │ curl          │ TCP TLS              │  52%  │
│ 192.168.1.1     │ Cisco IOS Router │ —             │ TCP                  │  18%  │
│ aa:bb:cc:dd:... │ Android 12-14    │ —             │ DHCP                 │  31%  │
└─────────────────┴──────────────────┴───────────────┴──────────────────────┴───────┘

Formato de Assinatura

As assinaturas ficam em signatures/raw/ como arquivos YAML:

# signatures/raw/os/windows11.yaml
id: os_win11
name: Windows 11
type: os
description: Windows 11 / Windows Server 2022
signals:
  tcp_ip:
    - "128:65535:1:mss,nop,wscale,sackok,timestamp"
    - "128:64240:1:mss,nop,wscale,sackok,timestamp"
  dhcp:
    - "1,3,6,15,31,33,43,44,46,47,119,121,249,252"

Adicione suas próprias assinaturas e elas são carregadas automaticamente.

Casos de Uso

Red Team: Reconhecimento silencioso de SO/navegador antes da exploração — zero alertas de IDS
Pentesting: Mapear ativos de rede passivamente durante a fase de acesso inicial
SOC / Threat Hunting: Detectar dispositivos maliciosos ou alterações de impressão digital (migração de VM, evasão)
Bug Bounty: Reconhecimento passivo de infraestrutura sem gerar logs no lado do alvo
Forensics: Reconstruir quais SOs/navegadores estavam ativos a partir de PCAPs históricos
Threat Intelligence: Rastrear agentes que rotacionam infraestrutura por meio de hash composto

Roteiro

v1.0  ─ TCP/IP + TLS/JA4 + DHCP parsers (current)
v1.5  ─ HTTP/2 HPACK fingerprinting, DNS behavior analysis, Rust capture engine
v2.0  ─ Cross-sensor correlation (Redis), behavioral drift detection, STIX 2.1 output
v2.5  ─ Zeek plugin, Elastic/Splunk output, web UI

Legal e Ética

O PHANTOMPRINT foi projetado para uso em redes que você possui ou para as quais tem autorização explícita para monitorar. A impressão digital passiva se enquadra no MITRE ATT&CK T1040 (Network Sniffing) — certifique-se de ter autorização adequada antes da implantação.

Licenciado sob GPL-3.0.

Mais Populares

phantomprint