VoidAccess: OSINT de dark web open source en 13 pasos

VoidAccess: OSINT de dark web que corre en tu propia infraestructura

Un equipo de seguridad puede hoy lanzar una consulta sobre un grupo de ransomware y recibir, sin pagar licencia, un grafo de relaciones con indicadores, actores, infraestructura y exports listos para STIX 2.1 o MISP. Eso es lo que promete VoidAccess, una plataforma OSINT open source y self-hostable publicada en GitHub bajo licencia MIT y distribuida también como paquete de PyPI, que encadena 13 pasos automatizados entre la consulta inicial y el resultado final.

Para un founder, el punto no es la curiosidad técnica: el monitoreo de exposición en la dark web suele venderse como licencia empresarial, y este proyecto mueve ese trabajo a una VPS propia. El propio repositorio describe la herramienta como una alternativa gratuita a Recorded Future, DarkOwl y Flare.

¿Qué hace VoidAccess?

Está diseñado para investigadores de seguridad, equipos de threat intelligence e investigadores autorizados que necesitan recolección, enriquecimiento, mapeo de relaciones y exportación en un solo flujo. Sus capacidades, según la documentación del proyecto:

• Recolección paralela en índices de búsqueda de Tor (más de 16 motores), sitios de paste, forjas de código, feeds de seguridad y semillas .onion curadas.
• Extracción de entidades: IOCs, wallets de criptomonedas, credenciales, alias, vulnerabilidades, actores, malware, personas y organizaciones.
• Enriquecimiento multi-fuente con reputación, brechas, DNS pasivo, sandbox y contexto de feeds de amenazas.
• Inteligencia de actores: persiste alias, infraestructura, notas, líneas de tiempo y relaciones entre investigaciones.
• Grafos de relaciones: co-ocurrencia, comunidades, rutas y clústeres de infraestructura.
• Exports estructurados: STIX 2.1, MISP, Sigma, YARA, Snort, Suricata, CSV, Markdown, JSON y paquetes de IOC.

Del lado de las fuentes, el proyecto declara alimentarse de feeds como AlienVault OTX, abuse.ch, MalwareBazaar, ThreatFox, URLhaus, ransomware.live y el catálogo CISA KEV, además de contexto de IP y dominio (Shodan InternetDB, GreyNoise, AbuseIPDB, crt.sh, URLScan.io, Wayback Machine), análisis de archivos e identidad (VirusTotal, Hybrid Analysis, Have I Been Pwned) y blockchain (BlockCypher, Etherscan). Las fuentes que requieren API key se omiten sin romper la ejecución cuando la clave no está configurada.

¿Cómo funciona el pipeline de 13 pasos?

El flujo está documentado en el repositorio y conviene leerlo antes de instalar, porque define qué esperar de la herramienta:

1. Refina la consulta de investigación con el modelo de lenguaje elegido.
2. Recolecta en paralelo desde búsqueda en Tor, sitios de paste, forjas de código, feeds RSS y semillas curadas.
3. Filtra páginas ruidosas o irrelevantes.
4. Enriquece la consulta y los indicadores tempranos con fuentes de threat intelligence.
5. Descubre enlaces .onion adicionales de forma recursiva.
6. Reutiliza páginas procesadas recientemente desde la caché vectorial.
7. Descarga páginas seleccionadas a través de Tor con límites de tamaño de respuesta.
8. Persiste el contenido nuevo.
9. Fusiona inteligencia recolectada y enriquecida.
10. Extrae entidades con regex, NER y análisis opcional por LLM.
11. Cruza entidades contra datasets históricos y de semillas.
12. Construye relaciones, comunidades y clústeres de infraestructura.
13. Genera el resumen final y el resultado listo para exportar.

Hay un detalle que separa a VoidAccess de un script casero: incluye filtros obligatorios de seguridad de contenido que bloquean consultas, URLs, contenido y entidades prohibidas en etapas concretas del pipeline, y publica una política de uso que restringe la herramienta a investigación de seguridad autorizada.

¿Por qué importa que sea self-hosted?

Para una startup, la diferencia entre una plataforma SaaS de inteligencia y una self-hosted no es el precio de lista: es dónde vive la consulta.

• Gobernanza de datos: las consultas sobre tus dominios, tus empleados o tus incidentes no salen a un tercero.
• Despliegue flexible: corre local con SQLite o como stack de Docker Compose con PostgreSQL, FastAPI y una interfaz web en Next.js.
• LLM a elección: soporta OpenRouter, Groq, OpenAI, Anthropic (Claude Haiku como default probado), Google Gemini y Ollama, esta última apta para entornos aislados.
• Sin PyTorch obligatorio: si no instalas el stack de embeddings con la extensión nlp, el sistema registra que usa un codificador determinístico SHA-256 como respaldo.

El atractivo para equipos pequeños es directo: la barrera de entrada deja de ser un contrato anual y pasa a ser una VPS, claves de API opcionales y tiempo de ingeniería.

El mercado que estas herramientas intentan cubrir

VoidAccess no aparece en un vacío. El ecosistema que busca monitorear se movió fuerte entre 2025 y 2026, según el recopilatorio de Stingrai sobre informes de Chainalysis, TRM Labs, Europol, Rapid7 y Bitsight:

• El flujo agregado de los mercados de la darknet alcanzó cerca de US$2.600 millones en 2025, por encima de los aproximadamente US$2.000 millones de 2024, según el Crypto Crime Report 2026 de Chainalysis.
• Bitsight contabilizó 2.900 millones de credenciales comprometidas únicas en 2024.
• El precio base promedio de un broker de acceso inicial pasó de US$2.726 en 2024 a US$113.275 en el segundo semestre de 2025, según Rapid7.
• El reporte IC3 de 2025 del FBI, publicado en abril de 2026, registró 1.008.597 denuncias y US$20.877 millones en pérdidas reportadas, un 26% más que el año anterior.

A eso se suma la rotación constante de la aplicación de la ley: Europol y Eurojust coordinaron en junio de 2025 el desmantelamiento de Archetyp, con más de 600.000 usuarios registrados, y en enero de 2026 el FBI incautó el foro RAMP, que exigía una tarifa de entrada de US$500 o una cuenta validada en otro foro. Stingrai resume el patrón: cada cierre obliga a una migración, pero la demanda encuentra un nuevo hogar en semanas.

La implicancia práctica para una herramienta como VoidAccess es que perseguir un marketplace concreto tiene vida útil corta. Lo que sobrevive como señal es el rastro persistente: credenciales filtradas, infraestructura reutilizada, alias que reaparecen. Ahí es donde un pipeline que extrae entidades y arma grafos tiene más sentido que una lista de sitios para vigilar.

¿Qué significa esto para tu startup?

Cinco movimientos concretos, en orden de esfuerzo:

• Empieza por tu propio dominio, no por el crimen ajeno. Antes de mapear actores de ransomware, corre una investigación sobre tu marca, tus dominios y los correos de tu equipo. Es el caso de uso con retorno más inmediato y el único que puedes ejecutar sin autorización de terceros.
• Prueba el pipeline sin Tor ni LLM antes de invertir en infraestructura. El comando voidaccess investigate con los flags --no-llm --no-tor --depth shallow permite ver el comportamiento del flujo sin configurar proxies ni claves. Después, voidaccess status muestra el estado de configuración, Tor, caché, motor y semillas.
• Define tu política de uso antes de instalar. La investigación OSINT sobre personas o infraestructuras de terceros tiene límites legales. El repositorio incluye una política de uso con requisitos explícitos de uso autorizado: revísala con tu equipo legal y deja por escrito qué investigaciones están permitidas en tu empresa.
• Antes de reemplazar un proveedor pago, mide. Un proyecto open source no trae SLA, ni curaduría de analistas, ni cobertura garantizada. Corre el mismo caso en paralelo con tu herramienta actual durante un trimestre y compara hallazgos accionables, no volumen de resultados.
• Conecta los exports a lo que ya usas. STIX 2.1 y MISP están pensados para alimentar SIEM y plataformas de threat intelligence existentes; YARA, Sigma, Snort y Suricata sirven para detección. Sin esa integración, la herramienta genera informes que nadie lee.

Hay un límite que conviene tener claro: lo que VoidAccess entrega es el pipeline, no la interpretación. La diferencia entre un grafo útil y una lista de coincidencias la sigue poniendo el analista que decide qué es relevante para el negocio.

Conclusión

El open source rara vez reemplaza de un día para otro a un proveedor consolidado de inteligencia de amenazas, y VoidAccess no promete lo contrario: promete la automatización de la recolección y el enriquecimiento, no la curaduría. Pero baja una barrera que hasta ahora era a la vez económica y operativa.

Para un founder, la lectura es simple. Si nunca monitoreaste tu exposición en la dark web, hoy existe una vía de entrada que cuesta horas de ingeniería en lugar de un contrato anual: instala, prueba con un caso acotado sobre tu propio dominio, mide la calidad antes de confiar y trata los exports como insumo de un proceso interno, no como un producto terminado.

Fuentes

• VoidAccess en GitHub (fuente original)
• Top Dark Web Marketplaces 2026, Stingrai

Artículos relacionados:

Microsoft detecta malware USB que roba cripto con Tor desde 2026 Tor Browser 15.0: Un Paso Adelante en Privacidad y Seguridad Tor y anticensura en 2025: innovaciones clave y aprendizajes Tor: 333 nodos de salida con un backdoor SSH El Tor Project migra de C a Rust: seguridad y privacidad reforzadas