MANTIS

MANTIS расшифровывается как Multi-source Analysis and Threat Intelligence Search. MANTIS — это рабочая среда для анализа киберугроз, предназначенная для обогащения IOC, сбора OSINT CTI, мониторинга программ-вымогателей и утечек данных, работы с YARA, анализа сходства вредоносных программ и расследований с поддержкой ИИ.

Ключевые возможности

• Поиск IOC: Автоматическое определение или ручной поиск хешей, доменов, IP-адресов, URL-адресов, ключевых слов и целей инфраструктуры.
• MANTIS AI: Чат с учётом доказательств, сводки, рекомендации по pivot-анализу, автономный режим агента, рабочий процесс AEAD-кейсов, оценка атрибуции, корреляционный анализ, помощь с YARA, сводки CTI и экспорт отчётов.
• Охота за инфраструктурой (Infra Hunt и C2 Catalog): Переход от любого начального индикатора (IP, домен, ASN, CIDR, SHA-256 сертификата) к инфраструктуре злоумышленника. Извлекает JA4/JARM, TLS-сертификаты, MMH3 favicon и HTTP-заголовки; сопоставляет с более чем 1 000 отобранных C2-плейбуков (Cobalt Strike, Sliver, Havoc, Metasploit и др.); выполняет корреляцию по Shodan, Censys, FOFA, Netlas, URLScan, Silent Push, Driftnet, Validin и Etugen; оценивает кандидатов с помощью антишумовой верификации GreyNoise, интерактивной визуализации графа и запланированного повторного запуска.
• Лаборатория ИИ-анализа бинарных файлов: Нативный (PE, ELF, Mach-O) и управляемый .NET реверс-инжиниринг, двойные headless-бэкенды IDA Pro и Ghidra, восстановление символов GoReSym, автоматическое переименование функций/переменных, экспорт офлайн-рабочей области ИИ, автономное расследование в базе данных, отчёты в нескольких форматах (HTML, MD, PDF) и создание кейса MANTIS в один клик.
• Массовый загрузчик образцов VirusTotal: Пакетная загрузка вредоносных бинарных файлов по MD5, SHA-1 или SHA-256 (до 50 хешей) непосредственно в локальные папки через браузерный File System Access API или создание защищённых паролем AES-256 ZIP-архивов (infected), интегрировано с мониторингом VT Live Hunt.
• База знаний об угрозах: Просмотр субъектов угроз MISP Galaxy, вредоносных программ/инструментов, программ-вымогателей, Microsoft Activity Groups, групп Tidal, поставщиков систем слежки, семейств Malpedia и профилей субъектов Kaspersky TIP.
• Разведка MISP: Запрос к настроенному экземпляру MISP как к пассивному контекстному источнику корреляции только для чтения по событиям IOC, тегам, галактикам, наблюдениям, спискам предупреждений, отчётам и связанным индикаторам.
• Монитор программ-вымогателей: Отслеживание последних жертв, групп, тенденций, стран, записок о выкупе, криптоадресов, инфраструктуры и списков наблюдения из RansomLook, Ransomware.live и заметок ThreatLabz.
• Экосистема YARA: Изучение локальных репозиториев YARA, сканирование образцов, проверка правил, запуск тестов корпуса/путей/загрузки, сохранение правил рабочей среды и использование ИИ для объяснения или исправления правил.
• Движок сходства: Построение сущностей из образцов, извлечение статических и опциональных функций IDA/Hex-Rays, сравнение образцов, изучение функций/блоков/шаблонов API и настройка порогов.
• Статьи CTI: Приём RSS/CTI-лент, извлечение IOC, управление категориями и источниками, поиск по локальному корпусу статей и запрос ИИ-сводок статей.
• Разведка уязвимостей: Отслеживание данных CVE/PoC, контекста CISA KEV, популярных публичных эксплойтов и разведки о вредоносных пакетах OSV.
• Набор инструментов Telegram: Мониторинг каналов Telegram через MTProto, разбор логов стилеров, отслеживание подверженности целей, управление расследованиями по токенам ботов и проверка артефактов.
• Монитор X: Сбор и фильтрация отслеживаемых аккаунтов X/Twitter и обсуждений в сфере инфосека для выявления новых IOC и уязвимостей.
• Наблюдатель за утечками: Агрегация данных DailyDarkWeb, RecentBreaches, DataBreach.watch, HaveIBeenPwned, DataBreaches.net, Infostealers Stats и Leak-Lookup.
• Разведка за сегодня: Ежедневная сводка статей CTI, эксплуатируемых уязвимостей, PoC, активности программ-вымогателей, социальных сигналов и опционального вывода ИИ-брифинга/отчёта.

Архитектура

flowchart LR
    classDef ui fill:#172033,stroke:#5b8cff,color:#ffffff
    classDef api fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef ext fill:#291b1b,stroke:#f87171,color:#ffe5e5

    User["Analyst"]:::ui --> UI["Frontend SPA<br/>index.html, app.js, ai.js, similarity.js, binary-lab.js, infra-hunt.js"]:::ui
    UI --> Search["IOC Search<br/>auto, hash, domain, IP, URL, keyword, infra"]:::ui
    UI --> Modules["Workbenches<br/>Threat Knowledge, Infra Hunt, Binary Lab, YARA, Similarity, CTI, Ransomware, Telegram, Breach, PoC, Downloader"]:::ui
    UI --> AIPanel["MANTIS AI Panel<br/>chat, pivots, agent, report, attribution"]:::ai

    Search --> API["FastAPI backend<br/>backend/main.py"]:::api
    Modules --> API
    AIPanel --> API

    API --> Intel["intel_query.py<br/>provider adapters and normalizers"]:::api
    API --> LocalEngines["Local engines<br/>Infra Hunt, Binary Lab, YARA, CTI DB, PoC index, Similarity, Ransomware, Telegram"]:::api
    API --> AIServices["AI services<br/>ai_service, ai_case_service, ai_case_agent"]:::ai

    Intel --> Providers["External passive providers<br/>VT, OTX, MISP, ThreatFox, URLScan, Shodan, Censys, GitHub, Twitter/X, RansomLook, Ransomware.live, ORKL, etc."]:::ext
    LocalEngines --> Stores["Local data<br/>SQLite, JSON catalogs, C2 playbooks, YARA repos, RSS cache, reports"]:::data
    AIServices --> AIStores["AI memory and cases<br/>case DB, audit trail, report files"]:::data

    Providers --> API
    Stores --> API
    AIStores --> API
    API --> UI

MANTIS AI

MANTIS AI — это не универсальный чат-бот, прикрученный к интерфейсу. Он читает компактный контекст страницы, результаты провайдеров, текущие результаты, видимый текст, состояние кейса и доказательства, выбранные аналитиком. Затем он может рассуждать об активном расследовании, сохраняя пассивные/read-only ограничения.

Возможности ИИ

• Assist: Задавайте вопросы о текущем наборе результатов или странице расследования.
• Summarize Findings: Преобразуйте исходные карточки провайдеров в краткие заметки аналитика.
• Recommend Pivots: Ранжируйте пассивные последующие действия и подавляйте шумные pivot-действия.
• Compare Relationship: Сопоставляйте сущности и доказательства с обработкой пересечений/противоречий.
• Attribution: Оценивайте вероятную атрибуцию актора/группы с категориями доказательств, противоречиями, недостающими доказательствами и диапазонами уверенности.
• Agent Investigation: Выполняйте ограниченный автономный выбор следующего шага через одобренные действия фронтенда.
• AEAD Case Run: Выполняйте Acquire, Enrich, Discover/Pivot, Analyze и Deliver по доказательствам кейса.
• Report Drafting: Создавайте отчёты по кейсам, экспорты Markdown, экспорты JSON, сохранённые HTML-отчёты и портативные ZIP-архивы рабочего пространства ИИ.
• YARA Assistant: Объясняйте правила, анализируйте ошибки валидации, предлагайте исправления, автоматически исправляйте безопасные синтаксические проблемы и просматривайте результаты тестов.
• CTI AI: Суммируйте статьи CTI и создавайте сводки/отчёты Today's Intelligence AI.
• Audit and Safety: Храните решения инструментов, состояние одобрения, метаданные операций и подавленные pivot-действия.

Рабочий процесс AEAD