MANTIS

MANTIS 代表 Multi-source Analysis and Threat Intelligence Search（多源分析与威胁情报搜索）。MANTIS 是一个威胁情报工作台，用于 IOC 富化、OSINT CTI 收集、勒索软件与数据泄露监控、YARA 操作、恶意软件相似性分析以及 AI 辅助调查。

亮点

• IOC 搜索：自动检测或手动搜索哈希、域名、IP、URL、关键词和基础设施目标。
• MANTIS AI：证据感知聊天、摘要、关联推荐、自主代理模式、AEAD 案例工作流、归因评分、关联分析、YARA 辅助、CTI 摘要和报告导出。
• 基础设施狩猎（Infra Hunt 与 C2 目录）：从任意种子（IP、域名、ASN、CIDR、证书 SHA-256）转向对手基础设施。提取 JA4/JARM、TLS 证书、favicon MMH3 和 HTTP 头；交叉引用 1,000+ 精选 C2 剧本（Cobalt Strike、Sliver、Havoc、Metasploit 等）；在 Shodan、Censys、FOFA、Netlas、URLScan、Silent Push、Driftnet、Validin 和 Etugen 之间进行关联；通过 GreyNoise 抗噪验证对候选进行评分，提供交互式图形可视化以及定时复现。
• AI 二进制分析实验室：原生（PE、ELF、Mach-O）和托管 .NET 逆向工程，双无头 IDA Pro 和 Ghidra 后端，GoReSym 符号恢复，自动化函数/变量重命名，离线 AI 工作区导出，数据库内自主调查，多格式报告（HTML、MD、PDF），以及一键创建 MANTIS 案例。
• VirusTotal 批量样本下载器：通过浏览器 File System Access API 按 MD5、SHA-1 或 SHA-256（最多 50 个哈希）批量下载恶意软件二进制文件到本地文件夹，或创建受密码保护的 AES-256 加密 ZIP（infected），并与 VT Live Hunt 监控集成。
• 威胁知识：浏览 MISP Galaxy 威胁行为者、恶意软件/工具、勒索软件、Microsoft 活动组、Tidal 组织、监控供应商、Malpedia 家族和 Kaspersky TIP 行为者档案。
• MISP 情报：将已配置的 MISP 实例作为被动、只读的上下文关联源进行查询，用于 IOC 事件、标签、galaxy、sighting、警告列表、报告和相关指标。
• 勒索软件监控：从 RansomLook、Ransomware.live 和 ThreatLabz 笔记中跟踪近期受害者、组织、趋势、国家、勒索笔记、加密货币地址、基础设施和观察列表。
• YARA 生态系统：探索本地 YARA 仓库、扫描样本、验证规则、运行语料库/路径/上传测试、保存工作台规则，并使用 AI 解释或修复规则。
• 相似性引擎：从样本构建实体，提取静态和可选的 IDA/Hex-Rays 特征，比较样本，检查函数/块/API 模式，并调整阈值。
• CTI 文章：摄取 RSS/CTI 源，提取 IOC，管理类别和来源，搜索本地文章语料库，并请求 AI 文章摘要。
• 漏洞情报：跟踪 CVE/PoC 数据、CISA KEV 上下文、热门公开漏洞利用和 OSV 恶意包情报。
• Telegram 工具包：使用 MTProto 监控 Telegram 频道，解析窃密日志，跟踪目标暴露情况，管理 bot-token 调查，并验证工件。
• X 监控：收集并过滤受监控的 X/Twitter 账户和信息安全讨论，以获取新兴 IOC 和漏洞线索。
• 泄露监控：聚合 DailyDarkWeb、RecentBreaches、DataBreach.watch、HaveIBeenPwned、DataBreaches.net、Infostealers Stats 和 Leak-Lookup 数据。
• 今日情报：每日汇总 CTI 文章、被利用漏洞、PoC、勒索软件活动、社交信号以及可选的 AI 简报/报告输出。

架构

flowchart LR
    classDef ui fill:#172033,stroke:#5b8cff,color:#ffffff
    classDef api fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef ext fill:#291b1b,stroke:#f87171,color:#ffe5e5

    User["Analyst"]:::ui --> UI["Frontend SPA<br/>index.html, app.js, ai.js, similarity.js, binary-lab.js, infra-hunt.js"]:::ui
    UI --> Search["IOC Search<br/>auto, hash, domain, IP, URL, keyword, infra"]:::ui
    UI --> Modules["Workbenches<br/>Threat Knowledge, Infra Hunt, Binary Lab, YARA, Similarity, CTI, Ransomware, Telegram, Breach, PoC, Downloader"]:::ui
    UI --> AIPanel["MANTIS AI Panel<br/>chat, pivots, agent, report, attribution"]:::ai

    Search --> API["FastAPI backend<br/>backend/main.py"]:::api
    Modules --> API
    AIPanel --> API

    API --> Intel["intel_query.py<br/>provider adapters and normalizers"]:::api
    API --> LocalEngines["Local engines<br/>Infra Hunt, Binary Lab, YARA, CTI DB, PoC index, Similarity, Ransomware, Telegram"]:::api
    API --> AIServices["AI services<br/>ai_service, ai_case_service, ai_case_agent"]:::ai

    Intel --> Providers["External passive providers<br/>VT, OTX, MISP, ThreatFox, URLScan, Shodan, Censys, GitHub, Twitter/X, RansomLook, Ransomware.live, ORKL, etc."]:::ext
    LocalEngines --> Stores["Local data<br/>SQLite, JSON catalogs, C2 playbooks, YARA repos, RSS cache, reports"]:::data
    AIServices --> AIStores["AI memory and cases<br/>case DB, audit trail, report files"]:::data

    Providers --> API
    Stores --> API
    AIStores --> API
    API --> UI

MANTIS AI

MANTIS AI 并非简单附加到 UI 上的通用聊天机器人。它会读取紧凑的页面上下文、提供商发现结果、当前结果、可见文本、案例状态以及分析师选定的证据。随后，它能够在保持被动/只读防护措施的前提下，对当前调查进行推理。

AI 能力

• 辅助（Assist）：针对当前结果集或调查页面提问。
• 总结发现（Summarize Findings）：将原始提供商卡片转换为简洁的分析师笔记。
• 推荐转向（Recommend Pivots）：对被动后续操作进行排序，并抑制噪声转向。
• 比较关系（Compare Relationship）：关联实体与证据，并处理重叠/矛盾情况。
• 归因（Attribution）：对候选行为者/组织归因进行评分，包含证据类别、矛盾点、缺失证据和置信区间。
• 智能体调查（Agent Investigation）：通过经批准的前端操作，执行有边界的自主下一步选择。
• AEAD 案例运行（AEAD Case Run）：针对案例证据执行获取（Acquire）、丰富（Enrich）、发现/转向（Discover/Pivot）、分析（Analyze）和交付（Deliver）。
• 报告起草（Report Drafting）：构建案例报告、Markdown 导出、JSON 导出、已保存的 HTML 报告以及可移植的 AI 工作区 ZIP 包。
• YARA 助手（YARA Assistant）：解释规则、分析验证错误、建议修复方案、自动修复安全的语法问题，并审查测试结果。
• CTI AI：总结 CTI 文章，并生成今日情报 AI 简报/报告。
• 审计与安全（Audit and Safety）：存储工具决策、审批状态、操作元数据以及被抑制的转向。

AEAD 工作流

flowchart TD
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef data fill:#12332c,stroke:#2bd4a3,color:#dfffee
    classDef guard fill:#332612,stroke:#f2b84b,color:#fff3d1
    classDef out fill:#172033,stroke:#5b8cff,color:#ffffff

    Start["Current page context<br/>indicator, visible results, provider cards"]:::out
    Start --> Acquire["Acquire<br/>sync case, store source snapshots, root artifact"]:::ai
    Acquire --> Enrich["Enrich<br/>normalize observations, claims, relationships, source health"]:::ai
    Enrich --> Discover["Discover<br/>candidate pivots from case evidence"]:::ai
    Discover --> Policy["Pivot policy<br/>reject placeholders, noisy infrastructure, over-depth, duplicates"]:::guard
    Policy -->|approved| Route["Resolve passive sources<br/>pivot registry + selected providers"]:::guard
    Policy -->|rejected| Audit["Pivot audit trail<br/>decision and reason"]:::data
    Route --> Execute["Execute source lookup<br/>_run_single_source"]:::ai
    Execute --> Store["Store evidence<br/>observations, timeline, normalized artifacts"]:::data
    Store --> Discover
    Store --> Analyze["Analyze<br/>contradictions, attribution support, confidence, gaps"]:::ai
    Analyze --> Deliver["Deliver<br/>assessment, report, JSON, HTML, AI workspace"]:::out

AI 工作区导出

导出 AI 工作区 会下载一个离线案例包，专为编码代理和人工审查而设计。每个 ZIP 包含 AGENTS.md、一个 CLAUDE.md 指针、完整的规范化 case.json、聚焦的 JSON 目录、Markdown 报告，以及 skills/*/SKILL.md 下的可移植工作流，用于调查、证据审查、转向规划、威胁归因和报告撰写。归因工作流实现了一个结构化的 6 类威胁归因证据模型，并使其证据类别和谨慎规则适配 MANTIS 案例数据。导出内容不包含任何 API 凭据，其技能禁止主动联系指标或提出无依据的富化声明。

被动转向注册表

backend/ai_pivot_registry.py 中的确定性注册表将已验证的转向原型映射到现有的提供方适配器。当前的转向族包括：

• 哈希转向：相似样本、网络 IOC、YARA 匹配、家族上下文、行为签名、执行父进程。
• 域名转向：被动 DNS、当前 IP、证书、兄弟域名、网络信誉、威胁脉冲。
• IP 转向：域名、ASN/BGP、证书、服务/端口、滥用/噪声、威胁脉冲。
• URL 转向：URL 遥测、载荷哈希、重定向链。
• 基础设施转向：ASN 基础设施、CIDR 暴露主机、证书关联基础设施。
• 基础设施狩猎引擎：在执行前预览可复用的 TLS/HTTP/DNS 指纹；使用 Shodan、Censys、FOFA、Netlas、Silent Push 和 Driftnet 进行搜索；通过 Validin 和 Etugen 进行转向；使用 GreyNoise 验证候选 IP；然后对集群进行评分、绘图、导出和监控。
• 威胁行为者转向：活动、基础设施、勒索软件受害者。
• 漏洞转向：漏洞利用/PoC 和野外利用。
• 恶意软件/社交转向：家族样本、社交提及、ThreatFox 和 MalwareBazaar 检查。

AI 二进制分析实验室

MANTIS 内置了完整的二进制分析引擎，并将其作为 逆向工程 -> AI 二进制分析实验室 下的一流 Web 工作台对外提供。原始引擎模块和 IDAPython 运行器保持完整；backend/binary_lab.py 将它们适配到持久化的 MANTIS 作业、进度事件、工件、设置和案例证据。

• 发现并排队 PE、ELF、Mach-O、IDB/I64、Ghidra 项目（GZF/GPR）和托管 .NET 样本。
• 通过 IDA Pro（无头模式） 或 Ghidra（无头模式） 运行原生样本，并自动检测工具和选择后端。
• 使用保留地址的选项重命名函数和局部变量。
• 将托管程序集反编译为 C#、CIL、元数据、字符串和资源。
• 导出包含反编译代码、反汇编、头信息、目录、CFG、交叉引用、全局变量、导入、字符串和代理指令的 AI 工作区。
• 运行导出工作区分析或数据库内自主调查。
• 生成 Markdown、HTML 和 PDF 报告，支持令牌预算和回退提供方控制。
• 监控、停止、恢复、删除、检查并下载作业，然后从已分析的哈希创建 MANTIS 案例。

安装 requirements.txt，在 引擎设置 下确认 IDA 或 Ghidra 路径，并保持 使用 MANTIS AI 设置 启用，以安全地复用已配置的 MANTIS 提供方。生成的文件存储在 backend/data/binary_lab/output/<job_id>/ 下；上传的样本保留在 backend/data/binary_lab/uploads/ 下，直到作业被删除。

功能地图

flowchart TB
    classDef ai fill:#311547,stroke:#b76cff,color:#ffffff
    classDef nav fill:#172033,stroke:#5b8cff,color:#ffffff
    classDef src fill:#12332c,stroke:#2bd4a3,color:#dfffee

    Home["Home HUD"]:::nav --> IOC["IOC Search"]:::nav
    IOC --> Results["Results, pivots, history, imports, exports"]:::nav
    Results --> AI["MANTIS AI"]:::ai