VoidAccess: Công cụ OSINT mã nguồn mở biến dark web thành đồ thị tình báo mối đe dọa

Trong làn sóng AI hiện nay, một nhà nghiên cứu bảo mật có tên Katriel đã trình làng VoidAccess — một engine OSINT mã nguồn mở chuyên thu thập và phân tích dữ liệu từ dark web, hướng tới việc vượt qua cả những công cụ thương mại đắt tiền. Dự án vừa xuất hiện trên Hacker News và nhanh chóng thu hút sự quan tâm của cộng đồng bảo mật.

Điểm cốt lõi của VoidAccess là tự động hóa toàn bộ quy trình mà trước đây các nhà phân tích phải làm thủ công: từ đặt truy vấn, thu thập dữ liệu, lọc nhiễu, loại bỏ nội dung không phù hợp (NSFW), cho đến trích xuất thực thể và dựng đồ thị quan hệ. Mục tiêu là giúp chuyên gia có cái nhìn tổng quan về những gì tồn tại trên dark web mà không cần phải tự mình lặn xuống đó.

Cài đặt và vận hành đơn giản

VoidAccess được thiết kế để chạy chỉ với vài lệnh. Người dùng có thể cài qua pip và bắt đầu điều tra ngay:

pip install voidaccess
voidaccess investigate "LockBit ransomware" --no-llm --no-tor --depth shallow

Công cụ sẽ tự động vận hành cho đến khi hoàn tất công việc, hoặc dừng lại khi chạm giới hạn thời gian do người dùng đặt. Ngoài giao diện dòng lệnh, VoidAccess còn có web UI, chạy cục bộ với SQLite hoặc triển khai qua Docker Compose với PostgreSQL.

Docker Compose

Kiến trúc pipeline 13 bước

Điều khiến VoidAccess khác biệt là pipeline xử lý nhiều tầng, được thiết kế để giảm nhiễu và tăng chất lượng tình báo:

• Thu thập song song từ hơn 16 công cụ tìm kiếm Tor, các trang paste, nền tảng lưu trữ mã nguồn (GitHub, GitLab) và các nguồn RSS có chọn lọc
• Lọc nhiễu các trang không liên quan trước khi đưa vào phân tích
• Làm giàu thông tin từ các nguồn tình báo mối đe dọa như AlienVault OTX, abuse.ch, MalwareBazaar, ThreatFox, CISA KEV
• Khám phá đệ quy các liên kết .onion mới
• Trích xuất thực thể bằng regex, NER và tùy chọn phân tích LLM
• Dựng đồ thị quan hệ, cộng đồng và cụm hạ tầng
• Tạo báo cáo tình báo cuối cùng, sẵn sàng xuất ra nhiều định dạng

Một điểm đáng chú ý là cơ chế content safety — bộ lọc bắt buộc tại các cổng pipeline nhằm chặn truy vấn, URL và thực thể bị cấm, đảm bảo công cụ chỉ dùng cho mục đích nghiên cứu được cấp phép.

Các loại thực thể được nhận diện

VoidAccess có thể nhận diện và phân loại nhiều dạng dấu hiệu (indicator) khác nhau:

• Tiền mã hóa: Bitcoin, Ethereum, Monero, Litecoin, Zcash, Solana, Tron
• Chỉ báo mạng: IPv4/IPv6, tên miền, URL, địa chỉ .onion, khóa PGP
• Chỉ báo tệp: MD5, SHA-1, SHA-256, họ malware
• Thông tin đăng nhập: khóa cloud, token, JWT, API key, log stealer
• Lỗ hổng: CVE, kỹ thuật MITRE ATT&CK, ID Exploit-DB
• Nội dung phát hiện: luật YARA, template Nuclei, chỉ báo Snort và Suricata
• Tình báo mối đe dọa: handle của tác nhân, nhóm ransomware, người, tổ chức, địa điểm

Hỗ trợ nhiều nhà cung cấp LLM

Người dùng có thể linh hoạt chọn mô hình ngôn ngữ lớn tùy nhu cầu: OpenRouter (mặc định, có mô hình miễn phí), Groq, OpenAI, Anthropic, Google Gemini hoặc Ollama cho các triển khai cách ly hoàn toàn (air-gapped). Đặc biệt, bản cài đặt mặc định không bắt buộc PyTorch — khi thiếu stack embedding, công cụ sẽ ghi log và dùng bộ mã hóa dự phòng SHA-256.

Python 3.10+

Xuất dữ liệu theo chuẩn công nghiệp

Kết quả điều tra có thể xuất ra STIX 2.1, MISP, Sigma, YARA, Snort, Suricata, CSV, Markdown, JSON hoặc đóng gói thành gói IOC dạng ZIP. Điều này cho phép tích hợp trực tiếp vào các hệ thống SIEM và quy trình ứng phó sự cố hiện có của doanh nghiệp.

Ngoài ra, VoidAccess còn lưu trữ hồ sơ tác nhân (actor profile) với bí danh, hạ tầng, ghi chú của nhà phân tích và dòng thời gian hoạt động, giúp theo dõi các nhóm tấn công xuyên suốt nhiều cuộc điều tra khác nhau.

Công cụ được phát hành theo giấy phép MIT, nhưng tác giả nhấn mạnh: chỉ sử dụng VoidAccess cho mục đích nghiên cứu bảo mật và tình báo mối đe dọa được cấp phép.

Góc nhìn cho cộng đồng bảo mật Việt Nam

Với các đội ngũ SOC và chuyên gia an ninh mạng tại Việt Nam, những công cụ mã nguồn mở như VoidAccess có ý nghĩa thực tiễn đáng kể. Chi phí cho các nền tảng tình báo mối đe dọa thương mại thường rất cao, trong khi VoidAccess có thể tự triển khai trên hạ tầng nội bộ, phù hợp với yêu cầu bảo mật dữ liệu.

License MIT

Tuy nhiên, cần lưu ý rằng việc thu thập dữ liệu từ dark web đòi hỏi hiểu biết pháp lý và chỉ nên thực hiện trong khuôn khổ được ủy quyền. Tác giả cũng cho biết đang phát triển MailAccess, một công cụ OSINT email, dự kiến ra mắt trong thời gian tới.

VoidAccess hiện có sẵn trên PyPI và GitHub, kèm hướng dẫn tự triển khai, tài liệu kiến trúc chi tiết và chính sách sử dụng rõ ràng.