NEXUS Hudson Rock

Resumo técnico

O NEXUS Hudson Rock detecta e-mails e usernames associados a computadores infectados por info-stealers (RedLine, Lumma, Raccoon etc.) via API pública Cavalier OSINT Tools, gratuita e sem key. Inclui cache local TTL 7 dias, enriquecimento automático via Intelligence Hub (prioridade 46, complementar ao HIBP) e operação sob demanda.

Escopo executado

• Registro do plugin (registerTab('hudsonrock','Hudson Rock','shield-alert',tab.php,'OSINT & Enrichment') + registerDoc) com hudsonrock_install() preparando a tabela hudsonrock_cache (query_key PK, query_type, compromised, stealers_count, contagens de serviços, payload JSON, timestamps).
• API com 5 actions: hudsonrock_stats (totais, dashboard de alertas e pulse da API), hudsonrock_query (consulta manual com force), hudsonrock_delete (remove do cache), hudsonrock_settings_save (auto_enrich + cache_ttl_days) e hudsonrock_settings (leitura da config).
• Integração com a API pública e gratuita Cavalier OSINT Tools (sem autenticação): search-by-email?email= e search-by-username?username= em cavalier.hudsonrock.com/api/json/v2/osint-tools, com timeout 8s, IPv4 e fallback para cache expirado quando a API está indisponível.
• Normalização de consultas: hudsonrock_normalize_query() distingue e-mail (via FILTER_VALIDATE_EMAIL) de username (2–128 caracteres alfanuméricos + ._%+-@), gerando chaves de cache email:/username:.
• Cache local TTL 7 dias (configurável 1–30 via hudsonrock_settings_save): hudsonrock_lookup() atende do cache se fresco, senão consulta a API e persiste com INSERT … ON DUPLICATE KEY UPDATE.
• Enriquecimento (Intelligence Hub): nx_intel_register_enricher('hudsonrock', ['email'], 'hudsonrock_intel_enrich', 46) — após o HIBP (45) por ser complementar; respeita auto_enrich e orçamento max_live_lookups (padrão 3); sinais com source=hudsonrock e summary "Info-stealer: N incidente(s) · famílias"; severity min(95, 55 + N*8) se comprometido, 8 se limpo; data.complementary explica a diferença para o HIBP.
• Dashboard de alertas: hudsonrock_stats() lista entradas compromised=1 (últimas 20) com famílias de stealer e contagem de serviços, além do histórico recente (25) e pulse de disponibilidade da API.
• Sob demanda: sem cronjob.json (nenhuma rotina periódica necessária) e sem CLI.
• Fast Responses: manifesto fastr.json com /hudsonrock <e-mail ou username> (arg obrigatório), action hudsonrock_query.
• Interface (tab.php, 361 linhas, Alpine hudsonRockTab()): badge API Online/Offline, cards de estatísticas, consulta manual com atalhos de demonstração (username test, e-mail demo), lista de stealer com família/OS/IP/data de comprometimento, dashboard de alertas com remoção e tabela de cache recente com filtro.

Stack e ferramentas

• PHP 8 backend (sem framework) + MySQL 8 (hudsonrock_cache)
• Hudson Rock Cavalier OSINT Tools API v2 (pública, gratuita, sem key)
• Alpine.js + Tailwind CSS (tab.php)
• Plugin API interno: PluginManager tabs/actions + fastr.json + enricher

Tags operacionais

• Hudson Rock
• Info-stealer
• Malware
• Cavalier
• OSINT
• E-mail
• Username
• Plugin NEXUS

Resultado operacional

• Detecção de info-stealers: qualquer e-mail ou username citado no NEXUS pode ser verificado contra credenciais roubadas por malware local (RedLine, Lumma, Raccoon, etc.).
• Complementar ao HIBP: enquanto o HaveIBeenPwned cobre breaches de bancos de dados, o Hudson Rock cobre comprometimento por info-stealers — os dois enriquecem o mesmo e-mail no Intelligence Hub.
• Sem custo e sem key: a API Cavalier é pública e gratuita, com cache local para economizar requisições.
• Falha resiliente: se a API cair, o plugin serve cache expirado com aviso em vez de falhar a consulta.
• Orçamento controlado: enriquecimento respeita max_live_lookups e auto_enrich, evitando consumo excessivo.
• Sob demanda: sem cron agendado — verificações acontecem quando solicitadas (painel, API ou slash /hudsonrock).