IRFlow Timeline

Análise forense de timeline nativa para macOS. Importe, pesquise e investigue artefatos de EVTX, CSV, XLSX, Plaso, $MFT, $J e do assistente de IA local — com AI Secret Hunt e as análises que profissionais de DFIR realmente precisam. Construído com Electron + SQLite para lidar com milhões de linhas sem esforço.

Inspirado no Timeline Explorer de Eric Zimmerman para Windows.

Principais Recursos

• AI Artifacts — Colete o histórico de IA local de Claude Code, Codex, ChatGPT Desktop, Gemini CLI, Cursor, Copilot, Windsurf e Continue em uma única aba de timeline; AI Secret Hunt para chaves, tokens e credenciais expostos
• Importação Bruta de Artefatos NTFS — Ingestão direta de $MFT e $UsnJrnl ($J) com reconstrução completa de caminhos, timestamps SI/FN e mapeamento de razões de alteração
• Análise de Ransomware — Análise automatizada de impacto a partir de dados do $MFT: detecção de renomeações em massa, análise de extensões baseada em entropia, identificação de notas de resgate e agrupamento temporal
• Enriquecimento com VirusTotal — Correspondência de IOCs com consultas VT em lote, extração de famílias de malware, selos de veredito, pivô de relacionamentos e cache local
• Process Inspector — Análise de árvore de processos pai-filho com mais de 340 regras de detecção MITRE ATT&CK
• Lateral Movement Tracker — Visualização de logons de rede e sessões RDP como grafos interativos de força direcionada
• Recuperação de Cache de Bitmap RDP — Recupere artefatos bcache*.bmc e cache????.bin com as ferramentas bmc-tools inclusas, visualize imagens e exporte pacotes de evidência
• Persistence Analyzer — Mais de 30 técnicas de persistência com detecção de cadeia de contas, correlação entre técnicas e remontagem de blocos de script do PowerShell 4104
• Correspondência de IOCs — Mais de 17 categorias de indicadores com auto-defanging automático, destaque inline e exportação CSV/HTML com dados de enriquecimento VT

Para a lista completa de recursos e documentação, visite a Documentação do IRFlow Timeline.

Compilando a partir do Código-Fonte

Pré-requisitos (apenas para desenvolvedores):

• Node.js 18+: brew install node
• Ferramentas de linha de comando do Xcode: xcode-select --install (para compilação de módulos nativos)
• macOS 12+ (Monterey ou posterior)

git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3

# Desenvolvimento (hot-reload)
npm run dev

# Compilar + iniciar
npm run start

# Empacotar como DMG universal
npm run dist:universal

Saída em release/.

Créditos e Agradecimentos

Inspirado no Timeline Explorer de Eric Zimmerman.

Projetos de Código Aberto

Comunidade DFIR

• Eric Zimmerman -- Timeline Explorer para Windows, a inspiração original deste projeto
• log2timeline/Plaso -- Framework de geração de super timelines por Kristinn Gudjonsson e colaboradores
• SANS DFIR -- Treinamento e recursos comunitários em DFIR
• The DFIR Report -- Relatórios reais de análise de intrusões que embasaram os padrões de detecção de ameaças
• CyberCX -- Pesquisa sobre NTFS $UsnJrnl que embasou a implementação do parseamento de $J

Testadores Beta

Agradecemos às seguintes pessoas por testar e fornecer feedback:

• Maddy Keller
• Omar Jbari
• Nicolas Bareil
• Dominic Rathmann
• Chip Riley

Licença

Apache-2.0