PHANTOM BRAIN v0.9

Ferramenta de análise de pentest com IA offline e integração com hardware real

Análise local de LLM (via Ollama) para capturas WiFi, Sub-GHz, NFC/RFID e WPA2 — sem necessidade de internet, sem APIs em nuvem, 100% offline. O LLM principal roda em um PC Windows. O Raspberry Pi atua como um nó secundário leve (captura ao vivo + apenas phi3:mini).

Hardware suportado: Flipper Zero · WiFi Pineapple MK7 · Proxmark3 · Raspberry Pi 4 (Kali Linux) · Atheros AR9271

Modelos: mistral:7b-instruct · deepseek-r1:7b · phi3:mini

Licença: GPL-3.0 | Autor: Otto | Comunidade: AI Tinkerers

⚠️ Projeto experimental — não use em produção. A análise por IA auxilia pesquisadores humanos; ela não substitui a auditoria manual. Sempre verifique as descobertas de forma independente.

O que o Phantom Brain É e NÃO É

✅ O que ele É	❌ O que ele NÃO É
Analisador automático que estrutura descobertas de capturas	Um substituto para Wireshark, bettercap ou aircrack-ng
Gerador de relatórios com IA (offline, LLM local)	Um pentester autônomo
Orquestrador entre ferramentas de hardware (Flipper, Pineapple, Proxmark)	Uma ferramenta de segurança pronta para produção
Plataforma de pesquisa e aprendizado	Um substituto para auditoria manual
100% offline — sem exfiltração de dados	Dependente de nuvem ou de APIs

💡 Todo relatório gerado por IA deve ser tratado como um ponto de partida, não como veredito final. LLMs podem alucinar vulnerabilidades. A saída estruturada do parser (sem IA) é sempre mais confiável.

Arquitetura do Sistema

FIELD (Mobile):
┌──────────────────┐
│  Flipper Zero    │ ──► Sub-GHz (.sub), NFC (.nfc), WiFi scanning
└──────────────────┘
┌──────────────────┐
│  WiFi Pineapple  │ ──► WPA2 Handshakes (.pcap), deauth, PMKID
└──────────────────┘
┌──────────────────┐
│  Proxmark3       │ ──► Advanced RFID/NFC (EM410x, MIFARE, EMV)
└──────────────────┘

BASE — PRIMARY NODE (required for full functionality):
┌──────────────────────────────────────────────────────┐
│  Windows PC (or Linux desktop)                       │
│  Python 3.11+ · Ollama · Flask API                  │
│  Runs: mistral:7b-instruct, deepseek-r1:7b           │
│  ► PHANTOM BRAIN CLI, full analysis, reports         │
└──────────────────────────────────────────────────────┘

BASE — SECONDARY NODE (optional, lightweight):
┌──────────────────────────────────────────────────────┐
│  Raspberry Pi 4 (Kali Linux)                         │
│  Ollama · Atheros AR9271                             │
│  Runs: phi3:mini only (mistral:7b too heavy for Pi)  │
│  ► Live WiFi capture · lightweight local inference   │
│  NOTE: connects to the PC's Ollama for heavy models  │
└──────────────────────────────────────────────────────┘

⚠️ Nota de arquitetura: O Raspberry Pi não executa toda a pilha do Phantom Brain de forma autônoma. Para análise completa com mistral:7b-instruct ou deepseek-r1:7b, um PC com Ollama é necessário. O Pi serve como nó de captura e pode executar apenas phi3:mini para inferência offline leve.

Pipeline de Análise (v0.9)

input → classifier → tool.run() → ToolResult(risk, findings) → Ollama

Cada tipo de captura passa por sua ferramenta específica antes de chegar ao LLM. A ferramenta estrutura a saída com um nível de risco e descobertas-chave, enriquecendo o contexto enviado ao Ollama.

Funcionalidades

WiFi / Marauder

Analisador de logs do Marauder
Detecção de redes WPS vulneráveis
Identificação de redes ocultas
Estatísticas de segurança

Sub-GHz / Flipper Zero

Analisador de arquivos .sub (sub_ghz_parser.py)
Extração: protocolo, frequência, chaves, pacotes
Suporta: Security+ 2.0, Rolling Code, Fixed Code
Analisador de padrões entre capturas (sub_ghz_analyzer.py)

NFC / Flipper Zero + Proxmark3

Analisador de arquivos .nfc (nfc_parser.py)
Suporta: MIFARE Classic 1K/4K, MIFARE Plus, NTAG, FeliCa, EMV
Analisador de vulnerabilidades (nfc_analyzer.py)
Detecção: Darkside, Hardnested, Reader Auth Bypass
Análise especial para SUBE (transporte público)
Analisador de saída do Proxmark3 (proxmark_parser.py)

WPA2 / WiFi Pineapple

Analisador PCAP com Scapy (pcap_parser_v2.py)
Extração: BSSID, SSID, quadros EAPOL, PMKID
Validação de handshakes completos
Pipeline completo: hcxpcapngtool → hashcat -m 22000

Sistema de Ferramentas (v0.9)

tools/base_tool.py — contrato unificado BaseTool + ToolResult
ToolResult com risk (CRITICO/ALTO/MEDIO/BAJO) e findings estruturados
tools/registry.py — registro central, despacha a ferramenta correta por tipo
tools/classifier.py — detecção automática por extensão e conteúdo
14/14 testes passando com fixtures reais (pytest tests/test_tools.py)

Banco de Dados e Relatórios

SQLite para histórico de análises (db_manager.py)
Relatórios em texto simples com timestamp
Busca por UID/BSSID, filtro por nível de risco
Estatísticas de análise

API REST Flask

flask_api.py rodando na porta 5000
GET /status — verifica Ollama e modelos disponíveis
POST /upload — recebe arquivos .pcap, .nfc, .sub
POST /analyze — analisa com Ollama e salva no SQLite
GET /analysis/<id> — consulta análise salva por ID

Modelos de IA Suportados

Modelo	RAM Mín.	Armazenamento	Velocidade (CPU)	Melhor para	Nó
`phi3:mini`	4 GB	~2,3 GB	~5 min	Triagem rápida, inferência leve, funciona no Pi — profundidade de raciocínio limitada	Raspberry Pi 4 / PC
`mistral:7b-instruct`	8 GB	~4,1 GB	~30 s (PC)	Padrão recomendado. Análise completa, comandos precisos e acionáveis, melhor relação precisão/velocidade	PC apenas
`deepseek-r1:7b`	8 GB	~4,5 GB	~45 s (PC)	Análise aprofundada, etapas de mitigação detalhadas, raciocínio em cadeia de pensamento	PC apenas

Nota: Benchmarks de velocidade medidos em um PC com 32 GB de RAM (somente CPU, sem GPU). A aceleração via GPU (CUDA/ROCm) reduzirá significativamente o tempo de inferência. O Pi só pode executar phi3:mini de forma confiável — mistral:7b causa throttling térmico e OOM no Pi 4B 8GB.

Todos os modelos rodam 100% offline via Ollama — nenhuma conexão com a internet necessária.

Mais Populares

phantom-brain