VoidAccess is een geavanceerd OSINT-platform ontworpen voor beveiligingsonderzoekers en threat-intelligence teams. Het systeem automatiseert het proces van dataverzameling op het dark web en het open web, en zet deze ruwe data om in bruikbare intelligence.
De belangrijkste functionaliteiten zijn:
- Geautomatiseerde Pipeline: Een 13-stappen proces dat gebruikmaakt van LLM's voor vraagverfijning, parallelle collectie via Tor en open-web bronnen, en uiteindelijke extractie van entiteiten.
- Entiteitextractie en Verrijking: Het platform identificeert IOC's, cryptowallets, actoren en kwetsbaarheden, en verrijkt deze met data van externe bronnen zoals Shodan, VirusTotal en diverse threat-feeds.
- Analyse en Mapping: Gebruikers kunnen relatiegrafieken bouwen en gedetailleerde profielen van actoren bijhouden, inclusief tijdlijnen en notities.
- Flexibele Implementatie: VoidAccess kan worden gebruikt als CLI-tool via pip of als volledige stack (PostgreSQL, Tor, FastAPI, Next.js) via Docker Compose.
- Brede Integraties: Het ondersteunt diverse LLM-providers (waaronder Ollama voor lokale installaties) en exporteert resultaten naar standaarden zoals STIX 2.1, MISP, YARA en Sigma.
VoidAccess
Snelstart
Installeer de software via pip: pip install voidaccess
Voorbeelden van commando's:
voidaccess investigate "LockBit ransomware" --no-llm --no-tor --depth shallowvoidaccess listvoidaccess actorsvoidaccess status
Functionaliteiten
- Parallelle collectie: Zoekt gelijktijdig in Tor-indexen, paste-sites, code-forges, security-feeds en gecureerde .onion-seeds.
- Entiteitextractie: Identificeert IOC's, wallets, inloggegevens, handles, kwetsbaarheden, actoren, malware, personen en organisaties.
- Verrijking uit meerdere bronnen: Voegt context toe op basis van reputatie, datalekken, passief DNS, sandboxen, blockchain en threat-feeds.
- Actor-intelligence: Legt aliassen, infrastructuur, notities, tijdlijnen en relaties tussen verschillende onderzoeken vast.
- Relatiegrafieken: Bouwt co-occurrence grafieken, communities, paden en infrastructuurclusters.
- Inhoudsveiligheid: Filtert verboden queries, URL's, inhoud en geëxtraheerde entiteiten via verplichte pipeline-gates.
- Gestructureerde exports: Produceert resultaten in STIX 2.1, MISP, Sigma, YARA, Snort, Suricata, CSV, Markdown, JSON en IOC-pakketten.
- CLI en web-UI: Kan lokaal worden uitgevoerd met SQLite of als een Docker Compose-stack met PostgreSQL en een browserinterface.
De Pipeline
Het proces verloopt in 13 stappen:
- Verfijnen van de onderzoeksvraag met het geselecteerde LLM.
- Parallelle collectie vanuit Tor-zoekmachines, paste-sites, code-forges, RSS-feeds en gecureerde seeds.
- Filteren van ruis of irrelevante pagina's.
- Verrijken van de query en vroege indicatoren via threat-intelligence bronnen.
- Recursief ontdekken van aanvullende .onion-links.
- Hergebruiken van recent verwerkte pagina's vanuit de vector-cache.
- Ophalen van geselecteerde pagina's via Tor met limieten op de responsgrootte.
- Vastleggen (persist) van nieuw verzamelde inhoud.
- Samenvoegen van verzamelde en verrijkte intelligentie.
- Extraheren van entiteiten met regex, NER en optionele LLM-analyse.
- Cross-referencen van entiteiten met historische en seed-datasets.
- Bouwen van relaties, communities en infrastructuurclusters.
- Genereren van de uiteindelijke intelligence-samenvatting en exportklaar resultaat.
Details over het volledige pipeline-gedrag, timeouts, herstel en datastromen zijn gedocumenteerd in de Architectuur.
Entiteitstypen
| Categorie | Voorbeelden |
|---|
| Cryptovaluta | Bitcoin, Ethereum, Monero, Litecoin, Zcash, Solana, Tron, ENS |
| Netwerkindicatoren | IPv4, IPv6, domeinen, URL's, .onion-adressen, MAC-adressen, PGP-keys |
| Bestandsindicatoren | MD5, SHA-1, SHA-256, malware-families |
| Inloggegevens | Cloud-keys, tokens, JWT's, API-keys, stealer logs, combo-list entries |
| Berichtenverkeer | Telegram, Discord, XMPP, Tox, Session, Matrix, Wire, ICQ, Wickr |
| Kwetsbaarheden | CVE's, MITRE ATT&CK technieken en tactieken, Exploit-DB ID's |
| Detectie-inhoud | YARA-regels, Nuclei-templates, Snort- en Suricata-indicatoren |
| Threat Intelligence | Actor-handles, ransomware-groepen, paste-links, personen, organisaties, locaties |
Collectie en Verrijking
| Laag | Bronnen |
|---|
| Dark-web search | 16+ Tor-zoekmachines en gecureerde .onion-seeds |
| Open-web collectie | Pastebin, dpaste, paste.ee, Rentry, GitHub, GitLab en gecureerde RSS-feeds |
| Threat feeds | AlienVault OTX, abuse.ch, MalwareBazaar, ThreatFox, URLhaus, ransomware.live, CISA KEV |
| IP en domein context | Shodan InternetDB, GreyNoise, AbuseIPDB, Feodo Tracker, C2IntelFeeds, crt.sh, URLScan.io, Wayback Machine, CIRCL PDNS, RDAP |
| Bestand en identiteit context | VirusTotal, Hybrid Analysis, Have I Been Pwned, EmailRep |
| Blockchain | BlockCypher en Etherscan |
Bronnen die API-keys vereisen worden automatisch overgeslagen als deze keys afwezig zijn. De volledige referentie voor keys en configuratie staat in de Architectuur.
Optionele Vector Embeddings
De standaardinstallatie kan zonder PyTorch draaien. Wanneer de embedding-stack niet beschikbaar is, gebruikt VoidAccess een deterministische SHA-256 fallback-encoder. Om volledige sentence-transformer vector embeddings te activeren, kunnen de optionele NLP-afhankelijkheden worden geïnstalleerd:
pip install "voidaccess[nlp]"
LLM-providers
| Provider | Typische modellen | Notities |
|---|
| OpenRouter | DeepSeek, Llama, Claude | Standaardroute; gratis modellen beschikbaar |
| Groq | Llama | Snelle hosted inferentie met een gratis laag |
| OpenAI | GPT-modellen | API-key vereist |
| Anthropic | Claude | Claude Haiku is de geteste standaard |
| Google Gemini | Gemini Flash en Pro | Google AI Studio key vereist |
| Ollama | Elk geïnstalleerd lokaal model | Lokaal en geschikt voor air-gapped implementaties |
CLI-referentie
| Commando | Beschrijving |
|---|
voidaccess investigate "QUERY" | Start een onderzoek |
voidaccess show | Opent de interactieve entiteitsbrowser |
voidaccess export INVESTIGATION_ID --format FORMAT | Export als STIX, MISP, Sigma, YARA, Snort, Suricata, package, CSV, Markdown of JSON |
voidaccess package INVESTIGATION_ID | Bouwt een IOC-pakket (ZIP) |
voidaccess enrich INVESTIGATION_ID | Verrijkt een opgeslagen onderzoek opnieuw |
voidaccess list | Lijst opgeslagen onderzoeken op |
voidaccess status | Toont status van configuratie, Tor, cache, engine en seeds |
voidaccess actors | Lijst persistente actor-profielen op |
voidaccess actor HANDLE | Toont een actor-profiel |
voidaccess actor HANDLE --timeline | Toont een tijdlijn van de activiteiten van een actor |
voidaccess actor HANDLE --note "TEXT" | Voegt een analistennotitie toe aan een actor-profiel |
voidaccess timeline HANDLE | Opent direct de tijdlijn van een actor |
voidaccess configure | Start de setup-wizard |
voidaccess configure llm | Configureert de LLM-provider, het model en de key |
voidaccess configure keys | Configureert API-keys voor verrijking |
voidaccess configure tor | Overschrijft de Tor-proxy host en poort |
voidaccess version | Print de geïnstalleerde versie |
Optionele clearnet-verzoeken kunnen ScrapingAnt gebruiken met --use-scraping-api of --use-proxies; verkeer naar Tor, .onion, GitHub en GitLab is hiervan niet beïnvloed.
Zelf-hosten
De volledige stack (PostgreSQL, Tor, FastAPI en Next.js) kan worden gedraaid met Docker Compose. De handleiding voor zelf-hosten bevat informatie over de begeleide installatie, omgevingsconfiguratie, beheer en probleemoplossing.
Documentatie en Links
- Self-hosting guide: Docker Compose, omgevingsinstellingen, beheer en troubleshooting.
- Architecture: Pipeline-internals, modules, schema, API, verrijking, grafieken en configuratiereferentie.
- Contributing: Ontwikkelomgeving, standaarden en pull requests.
- Security: Ondersteunde versies en rapporteren van private kwetsbaarheden.
- Usage policy: Vereisten voor geautoriseerd gebruik en verboden activiteiten.
- PyPI: Gepubliceerd pakket en release-bestanden.
- GitHub: Broncode, issues en releases.
- License: MIT. Gebruik VoidAccess uitsluitend voor geautoriseerd beveiligingsonderzoek en threat-intelligence werk; zie de Usage Policy.
VoidAccess
Snelstart
Installeer de software via pip: pip install voidaccess
Voorbeelden van commando's:
voidaccess investigate "LockBit ransomware" --no-llm --no-tor --depth shallowvoidaccess listvoidaccess actorsvoidaccess status
Functionaliteiten
- Parallelle collectie: Zoekt gelijktijdig in Tor-indexen, paste-sites, code-forges, security-feeds en gecureerde .onion-seeds.
- Entiteitextractie: Identificeert IOC's, wallets, inloggegevens, handles, kwetsbaarheden, actoren, malware, personen en organisaties.
- Verrijking uit meerdere bronnen: Voegt context toe op basis van reputatie, datalekken, passief DNS, sandboxen, blockchain en threat-feeds.
- Actor-intelligence: Legt aliassen, infrastructuur, notities, tijdlijnen en relaties tussen verschillende onderzoeken vast.
- Relatiegrafieken: Bouwt co-occurrence grafieken, communities, paden en infrastructuurclusters.
- Inhoudsveiligheid: Filtert verboden queries, URL's, inhoud en geëxtraheerde entiteiten via verplichte pipeline-gates.
- Gestructureerde exports: Produceert resultaten in STIX 2.1, MISP, Sigma, YARA, Snort, Suricata, CSV, Markdown, JSON en IOC-pakketten.
- CLI en web-UI: Kan lokaal worden uitgevoerd met SQLite of als een Docker Compose-stack met PostgreSQL en een browserinterface.
De Pipeline
Het proces verloopt in 13 stappen:
- Verfijnen van de onderzoeksvraag met het geselecteerde LLM.
- Parallelle collectie vanuit Tor-zoekmachines, paste-sites, code-forges, RSS-feeds en gecureerde seeds.
- Filteren van ruis of irrelevante pagina's.
- Verrijken van de query en vroege indicatoren via threat-intelligence bronnen.
- Recursief ontdekken van aanvullende .onion-links.
- Hergebruiken van recent verwerkte pagina's vanuit de vector-cache.
- Ophalen van geselecteerde pagina's via Tor met limieten op de responsgrootte.
- Vastleggen (persist) van nieuw verzamelde inhoud.
- Samenvoegen van verzamelde en verrijkte intelligentie.
- Extraheren van entiteiten met regex, NER en optionele LLM-analyse.
- Cross-referencen van entiteiten met historische en seed-datasets.
- Bouwen van relaties, communities en infrastructuurclusters.
- Genereren van de uiteindelijke intelligence-samenvatting en exportklaar resultaat.
Details over het volledige pipeline-gedrag, timeouts, herstel en datastromen zijn gedocumenteerd in de Architectuur.
Entiteitstypen
| Categorie | Voorbeelden |
|---|
| Cryptovaluta | Bitcoin, Ethereum, Monero, Litecoin, Zcash, Solana, Tron, ENS |
| Netwerkindicatoren | IPv4, IPv6, domeinen, URL's, .onion-adressen, MAC-adressen, PGP-keys |
| Bestandsindicatoren | MD5, SHA-1, SHA-256, malware-families |
| Inloggegevens | Cloud-keys, tokens, JWT's, API-keys, stealer logs, combo-list entries |
| Berichtenverkeer | Telegram, Discord, XMPP, Tox, Session, Matrix, Wire, ICQ, Wickr |
| Kwetsbaarheden | CVE's, MITRE ATT&CK technieken en tactieken, Exploit-DB ID's |
| Detectie-inhoud | YARA-regels, Nuclei-templates, Snort- en Suricata-indicatoren |
| Threat Intelligence | Actor-handles, ransomware-groepen, paste-links, personen, organisaties, locaties |
Collectie en Verrijking
| Laag | Bronnen |
|---|
| Dark-web search | 16+ Tor-zoekmachines en gecureerde .onion-seeds |
| Open-web collectie | Pastebin, dpaste, paste.ee, Rentry, GitHub, GitLab en gecureerde RSS-feeds |
| Threat feeds | AlienVault OTX, abuse.ch, MalwareBazaar, ThreatFox, URLhaus, ransomware.live, CISA KEV |
| IP en domein context | Shodan InternetDB, GreyNoise, AbuseIPDB, Feodo Tracker, C2IntelFeeds, crt.sh, URLScan.io, Wayback Machine, CIRCL PDNS, RDAP |
| Bestand en identiteit context | VirusTotal, Hybrid Analysis, Have I Been Pwned, EmailRep |
| Blockchain | BlockCypher en Etherscan |
Bronnen die API-keys vereisen worden automatisch overgeslagen als deze keys afwezig zijn. De volledige referentie voor keys en configuratie staat in de Architectuur.
Optionele Vector Embeddings
De standaardinstallatie kan zonder PyTorch draaien. Wanneer de embedding-stack niet beschikbaar is, gebruikt VoidAccess een deterministische SHA-256 fallback-encoder. Om volledige sentence-transformer vector embeddings te activeren, kunnen de optionele NLP-afhankelijkheden worden geïnstalleerd:
pip install "voidaccess[nlp]"
LLM-providers
| Provider | Typische modellen | Notities |
|---|
| OpenRouter | DeepSeek, Llama, Claude | Standaardroute; gratis modellen beschikbaar |
| Groq | Llama | Snelle hosted inferentie met een gratis laag |
| OpenAI | GPT-modellen | API-key vereist |
| Anthropic | Claude | Claude Haiku is de geteste standaard |
| Google Gemini | Gemini Flash en Pro | Google AI Studio key vereist |
| Ollama | Elk geïnstalleerd lokaal model | Lokaal en geschikt voor air-gapped implementaties |
CLI-referentie
| Commando | Beschrijving |
|---|
voidaccess investigate "QUERY" | Start een onderzoek |
voidaccess show | Opent de interactieve entiteitsbrowser |
voidaccess export INVESTIGATION_ID --format FORMAT | Export als STIX, MISP, Sigma, YARA, Snort, Suricata, package, CSV, Markdown of JSON |
voidaccess package INVESTIGATION_ID | Bouwt een IOC-pakket (ZIP) |
voidaccess enrich INVESTIGATION_ID | Verrijkt een opgeslagen onderzoek opnieuw |
voidaccess list | Lijst opgeslagen onderzoeken op |
voidaccess status | Toont status van configuratie, Tor, cache, engine en seeds |
voidaccess actors | Lijst persistente actor-profielen op |
voidaccess actor HANDLE | Toont een actor-profiel |
voidaccess actor HANDLE --timeline | Toont een tijdlijn van de activiteiten van een actor |
voidaccess actor HANDLE --note "TEXT" | Voegt een analistennotitie toe aan een actor-profiel |
voidaccess timeline HANDLE | Opent direct de tijdlijn van een actor |
voidaccess configure | Start de setup-wizard |
voidaccess configure llm | Configureert de LLM-provider, het model en de key |
voidaccess configure keys | Configureert API-keys voor verrijking |
voidaccess configure tor | Overschrijft de Tor-proxy host en poort |
voidaccess version | Print de geïnstalleerde versie |
Optionele clearnet-verzoeken kunnen ScrapingAnt gebruiken met --use-scraping-api of --use-proxies; verkeer naar Tor, .onion, GitHub en GitLab is hiervan niet beïnvloed.
Zelf-hosten
De volledige stack (PostgreSQL, Tor, FastAPI en Next.js) kan worden gedraaid met Docker Compose. De handleiding voor zelf-hosten bevat informatie over de begeleide installatie, omgevingsconfiguratie, beheer en probleemoplossing.
Documentatie en Links
- Self-hosting guide: Docker Compose, omgevingsinstellingen, beheer en troubleshooting.
- Architecture: Pipeline-internals, modules, schema, API, verrijking, grafieken en configuratiereferentie.
- Contributing: Ontwikkelomgeving, standaarden en pull requests.
- Security: Ondersteunde versies en rapporteren van private kwetsbaarheden.
- Usage policy: Vereisten voor geautoriseerd gebruik en verboden activiteiten.
- PyPI: Gepubliceerd pakket en release-bestanden.
- GitHub: Broncode, issues en releases.
- License: MIT. Gebruik VoidAccess uitsluitend voor geautoriseerd beveiligingsonderzoek en threat-intelligence werk; zie de Usage Policy.
Groetjes,