Obfuskierungs-Erkennungs-Toolkit

• 17 Kategorien der Technikerkennung: Scannen Sie Code über 17 umfassende Erkennungskategorien, darunter eval-Erkennung, Dean-Edwards-Packer-Erkennung, Hex-/Unicode-/Base64-Kodierung, array-basierter String-Ersatz, Dead-Code-Injection, opake Prädikate, Control-Flow-Flattening, String-Konkatenation, Zahlenobfuskierung, Variablenumbenennung, selbstverteidigender/anti-manipulativer Code, Domain-Locking, berechneter Eigenschaftszugriff, mehrschichtige Kodierung und XOR-Verschlüsselung. Jede Technik enthält detaillierte Übereinstimmungsmuster, die auf mehrere Programmiersprachen zugeschnitten sind.
• Mehrsprachige und multiformatige Unterstützung: Erkennt automatisch die Programmiersprache (JavaScript, Python, PHP, Ruby, Java, C#, PowerShell) und den Dateityp (PHP, XML, HTML, JSON, YAML, Terraform) aus dem Codeinhalt. Das Muster-Matching passt sich an sprachspezifische Obfuskierungsidiome an und gewährleistet eine genaue Erkennung, egal ob Sie Web-Skripte, Ausgaben kompilierter Sprachen oder Konfigurationsdateien analysieren. Das gesamte Matching ist auf die einzigartigen Obfuskierungsmuster jeder Sprache abgestimmt.
• Konfidenzbewertung und Schweregradklassifizierung: Jede Erkennung enthält eine Konfidenzbewertung von 0-100 % basierend auf Evidenzdichte und Übereinstimmungsqualität. Techniken werden nach Schweregrad klassifiziert (Info, Warnung, Kritisch), um die Priorisierung der Behebung zu erleichtern. Die Gesamtofuskierungsbewertung (0-100) und das Zusammenfassungsniveau (Keine → Extrem) bieten eine Bewertung des Schutzstatus des Codes auf einen Blick, mit detaillierten Aufschlüsselungen pro Technikkategorie.
• Umsetzbare Evidenz und Empfehlungen: Jede erkannte Technik enthält passende Code-Evidenzausschnitte, die genau zeigen, wo die Obfuskierung gefunden wurde, plus umsetzbare Empfehlungen zur Deobfuskierung. Die Evidenz wird aus dem Kontext um die Musterübereinstimmungen extrahiert und zeigt die umgebende Codestruktur. Die Empfehlungen verlinken zu spezifischen Deobfuskierungswerkzeugen und -techniken für jedes erkannte Muster und bieten einen klaren Behebungsweg.

Code-Obfuskierung ist die bewusste Praxis, Quell- oder Binärcode in eine funktional identische, aber für Menschen schwer lesbare, verständliche oder nachvollziehbare Form zu transformieren. Obfuskierungstechniken reichen von einfacher Variablenumbenennung (aussagekräftige Namen wie calculateTotal in a oder _0x1234 ändern) bis zu komplexen Kontrollfluss-Transformationen, die die gesamte Programmlogik umstrukturieren. Während es legitime Anwendungen gibt (Schutz geistigen Eigentums, Verhinderung von Manipulation), ist Obfuskierung auch eine Technik, die Malware-Autoren häufig nutzen, um der Erkennung durch Sicherheitstools und Analysten zu entgehen. Das Obfuskierungs-Erkennungs-Toolkit identifiziert 17 verschiedene Obfuskierungstechniken in acht Kategorien.

1. Spracherkennung – Die Engine analysiert den Code zunächst, um die Programmiersprache (JavaScript, Python, PHP, Ruby, Java, C#, PowerShell) und den Dateityp (PHP, XML, HTML, JSON, YAML) zu erkennen. Die Spracherkennung ermöglicht sprachspezifisches Muster-Matching für genauere Ergebnisse.
2. Musterbasiertes Scannen – Der Code wird gegen 17 Technikdefinitionen geprüft, jede mit mehreren Regex-Mustern. Diese Muster sind darauf ausgelegt, spezifische Obfuskierungssignaturen zu erkennen, wie eval-Aufrufe mit langen Argumenten, Hex-/Unicode-Escape-Sequenzen, Base64-API-Aufrufe, das Dean-Edwards-Packer-Format, Muster der Variablenumbenennung und Anti-Analyse-Indikatoren.
3. Kontextuelle Evidenzsammlung – Über einfaches Muster-Matching hinaus sammelt die Engine kontextuelle Evidenz, indem sie die Codestruktur um die Übereinstimmungen untersucht. Beispielsweise sammelt die eval-Erkennung umgebende Codezeilen, die Hex-Kodierungserkennung zählt die Gesamtdichte der Escapes, und die Analyse der Variablenumbenennung sucht nach kurzen Variablendeklarationen mit hoher Dichte im gesamten Code.
4. Konfidenzbewertung und Klassifizierung – Jede erkannte Technik erhält eine Konfidenzbewertung von 0-100 % basierend auf Evidenzmenge und Übereinstimmungsqualität. Techniken werden nach Schweregrad (Info, Warnung, Kritisch) nach ihrer Obfuskierungswirkung klassifiziert. Die Gesamtbewertung wird auf 0-100 normalisiert und einem fünfstufigen Fazit zugeordnet (Keine, Minimal, Mäßig, Stark, Extrem).

• Packing: Komprimiert und kodiert die gesamte Code-Payload in ein kleineres Format, das zur Laufzeit dekodiert wird. Der Dean Edwards Packer ist das bekannteste Beispiel. Gepackter Code ist typischerweise 30-70 % kleiner als das Original, aber ohne Unpacking völlig unlesbar.
• Kodierung: Wandelt String-Literale und Daten in kodierte Darstellungen (Hex, Unicode, Base64, Base85) um, die zur Laufzeit dekodiert werden. Mehrschichtige Kodierung wendet mehrere Kodierungsdurchgänge an und erfordert iteratives Dekodieren, um den ursprünglichen Inhalt aufzudecken.
• Kontrollfluss: Strukturiert den Programmfluss mit Techniken wie eval-basierter dynamischer Ausführung, opaken Prädikaten (immer wahre oder immer falsche Bedingungen) und Control-Flow-Flattening (Umwandlung aller Verzweigungen in einen switch-basierten Dispatcher) um.
• String-Obfuskierung: Verbirgt String-Literale durch array-basierten Ersatz (Strings in Lookup-Arrays, per Index zugegriffen), Split-Konkatenation (in Fragmente zerlegte Strings) und berechneten Eigenschaftszugriff (Klammernotation mit kodierten Schlüsseln).
• Anti-Analyse: Erkennt und reagiert auf Debugging-Tools, Codeänderungen oder unerwartete Ausführungsumgebungen. Enthält selbstverteidigenden Code, der sein Verhalten bei erkannter Manipulation ändert, und Domain-Locking, das die Ausführung auf bestimmte Hostnamen beschränkt.

Dieses Tool läuft vollständig in Ihrem Browser mit clientseitigem JavaScript. Ihr Code, hochgeladene Dateien und Scanergebnisse werden nie an einen Server gesendet, in einer Datenbank gespeichert oder über das Netzwerk übertragen. Die gesamte Berechnung der Erkennungs-Engine, das Muster-Matching, die Konfidenzbewertung und die Berichtserstellung erfolgen lokal auf Ihrem Gerät. Es gibt keine API-Aufrufe, kein Analyse-Tracking, keine Cookies und keinerlei Datenerhebung. Dadurch ist es völlig sicher, proprietären Code, Malware-Proben oder sensible Sicherheitsforschungsdaten zu analysieren.