Présentation

VoidAccess est un outil open‑source conçu pour transformer des requêtes de recherche sur le dark web en renseignements structurés. Il s’adresse aux chercheurs en sécurité, aux équipes de threat‑intelligence et aux enquêteurs autorisés. L’installation se fait en une ligne : 

pip install voidaccess
voidaccess investigate "LockBit ransomware" --no-llm --no-tor --depth shallow
. Le logiciel propose à la fois une interface en ligne de commande et une UI web, fonctionnant localement avec SQLite ou via un stack Docker Compose complet (PostgreSQL, Tor, FastAPI, Next.js).

Fonctionnement et architecture

Le pipeline repose sur une collecte parallèle qui interroge simultanément des index Tor, des sites de paste, des forge de code, des flux de sécurité et une liste sélectionnée de seeds .onion. Chaque source est traitée indépendamment, ce qui réduit le temps de réponse global. Les entités extraites comprennent les IOCs, portefeuilles, identifiants, vulnérabilités, acteurs, malwares, personnes et organisations. Ces données sont enrichies via plusieurs services : réputation, fuites, DNS passif, sandbox, blockchain et flux de menaces. L’enrichissement multi‑source crée un profil complet de chaque entité.

VoidAccess persiste les alias d’acteurs, l’infrastructure associée, les notes, les timelines et les relations entre investigations. Un graphe de co‑occurrence est généré automatiquement, permettant d’identifier des communautés, des chemins de compromission et des clusters d’infrastructure. Le système intègre des filtres de sécurité obligatoires qui bloquent les requêtes, URLs ou contenus prohibés avant toute extraction.

Les exportations sont disponibles aux formats STIX 2.1, MISP, Sigma, YARA, Snort, Suricata, CSV, Markdown, JSON et paquets IOC, facilitant l’intégration dans des plateformes tierces. Le moteur d’embeddings vectoriels est optionnel : en l’absence de PyTorch, VoidAccess bascule sur un encodeur déterministe SHA‑256, consigné dans les logs. L’installation du module voidaccess[nlp] active les embeddings basés sur sentence‑transformers. Les requêtes clearnet peuvent recourir à ScrapingAnt via les options --use-scraping-api ou --use-proxies, tandis que le trafic Tor, .onion, GitHub et GitLab reste inchangé.

Analyse des capacités et limites

La collecte parallèle améliore la couverture du dark web, mais dépend fortement de la disponibilité des nœuds Tor et de la latence réseau. Les sources nécessitant des clés API sont ignorées proprement lorsqu’elles sont absentes, ce qui évite les échecs de pipeline mais peut réduire la richesse des enrichissements. Le fallback SHA‑256 assure la continuité du traitement, toutefois il ne fournit pas de représentation sémantique comparable aux embeddings de sentence‑transformers, limitant la pertinence des recherches basées sur la similarité vectorielle.

Le modèle de sécurité repose sur un filtrage strict des contenus, mais la responsabilité finale incombe à l’utilisateur : la licence MIT autorise l’usage uniquement dans un cadre de recherche autorisée, comme indiqué dans la politique d’utilisation. Le déploiement auto‑hébergé garantit la confidentialité des données collectées, mais impose une configuration correcte de Docker, PostgreSQL et du réseau Tor, ce qui peut représenter une barrière pour les équipes dépourvues d’expertise DevOps.

En résumé, VoidAccess fournit une chaîne d’acquisition, d’enrichissement et de visualisation complète, tout en offrant la flexibilité d’un mode léger (sans NLP) ou d’un mode complet (embeddings, ScrapingAnt). Son architecture modulaire facilite l’intégration dans des environnements existants, mais la performance dépend de la disponibilité des services externes et de la configuration réseau.