Cinco camadas de análise, e nenhuma delas abre o arquivo

01

Impressão digital

MD5, SHA-1, SHA-256 e SHA-512 numa única leitura em blocos. Identifica o arquivo sem revelar o conteúdo.

02

Entropia

Entropia de Shannon global e por bloco. Uma seção empacotada aparece como um planalto que a média esconde.

03

Formato real

33 assinaturas de magic bytes. A extensão é uma afirmação; os primeiros bytes são o fato.

04

Artefatos

Texto legível em ASCII e UTF-16 e, dentro dele, URLs, IPs, caminhos e referências a interpretadores de comando.

05

Pontuação de risco

16 regras traduzem observações em pontos, cada uma carregando a evidência que a disparou.

Quatro tipos de evidência, uma única escala de risco

Qualquer arquivo

Executável disfarçado de documento ou imagem
Extensão que contradiz a assinatura real
Entropia inesperada para o formato detectado
Referências a PowerShell, certutil e outros LOLBins
URLs, endereços IP e caminhos do Windows embutidos

Imagens

Marca, modelo e momento da captura
Software de edição deixado nos metadados
Coordenadas GPS, com link para o mapa
Bombas de descompressão, detectadas sem decodificar um pixel
Dimensões, modo de cor e todas as tags EXIF legíveis

E-mails

Veredito de SPF, DKIM e DMARC como o servidor receptor registrou
Reply-To ou Return-Path apontando para outro lugar
Links que exibem um endereço e levam a outro
Cada anexo analisado recursivamente, com nota própria
A cadeia completa de Received, um dos poucos cabeçalhos que o remetente não escreve

Links

Credenciais escondendo o host real antes do @
Alfabetos misturados, um caractere cirílico dentro de um nome latino
Domínios de topo que colidem com extensões de arquivo, como .zip
Extensões duplas como fatura.pdf.exe
O endereço dissecado parte por parte, mostrando para onde leva de verdade

Cada ponto vem com a evidência que o justificou

invoice.jpg, um executável renomeado

$ forensicguard analyse invoice.jpg
 
  sha256    7a467a30ee59de80e7d4b384581e192ee5111b48...
  entropy   5.1161 / 8.00
  declared  .jpg
  detected  Windows executable (PE / MZ)
 
  RISK 85/100  CRITICAL
    +50  executable disguised as another file type
    +35  extension does not match the detected signature
$ ▍

Projetado para arquivos que são hostis por definição

Roda na sua máquina

Sem conta, sem banco de dados, sem envio para terceiros. O backend é o que você mesmo iniciou, e a evidência é apagada assim que a análise termina, inclusive quando ela falha.

Nada é executado

Nenhuma macro roda, nenhuma imagem é decodificada, nenhum arquivo compactado é extraído. A leitura é feita em blocos de 64 KB, e todo parser que toca entrada hostil tem teto e tratamento de erro.

Nada é contatado

Sem consulta de DNS, sem certificado, sem acessar a página. Contatar um endereço suspeito avisa quem o montou que ele está sendo investigado, por isso a análise fica estrutural. A única exceção é um botão que você aperta: resolver o destino de um encurtador, que avisa o custo antes.

O que esta ferramenta não faz

O ForensicGuard faz triagem estática. Ele responde se algo merece uma olhada mais atenta, nunca se é malware. Resultado limpo significa que nada se destacou — o que não é o mesmo que ser seguro.

Não executa o arquivo em ambiente isolado
Não consulta serviços de reputação
Não descriptografa nem extrai arquivos compactados
Não substitui um antivírus
Não emite veredito, apenas indicadores
Não guarda histórico do que você analisou

Descubra o que um arquivo realmente é