Kit de detección de ofuscación

• 17 categorías de detección de técnicas: Analiza código en 17 categorías exhaustivas, como detección de eval, reconocimiento del Dean Edwards Packer, codificación hex/Unicode/Base64, sustitución de cadenas basada en arrays, inyección de código muerto, predicados opacos, aplanamiento de flujo de control, concatenación de cadenas, ofuscación de números, renombrado de variables, código autodefensivo/anti-manipulación, bloqueo de dominio, acceso a propiedades calculadas, codificación multicapa y cifrado XOR. Cada técnica incluye patrones de coincidencia detallados adaptados a varios lenguajes de programación.
• Compatibilidad con varios lenguajes y formatos: Detecta automáticamente el lenguaje de programación (JavaScript, Python, PHP, Ruby, Java, C#, PowerShell) y el tipo de archivo (PHP, XML, HTML, JSON, YAML, Terraform) a partir del contenido del código. El emparejamiento de patrones se adapta a los modismos de ofuscación de cada lenguaje, lo que garantiza una detección precisa tanto si analizas scripts web, salidas de lenguajes compilados o archivos de configuración. Todo el emparejamiento está ajustado a los patrones de ofuscación propios de cada lenguaje.
• Puntuación de confianza y clasificación de gravedad: Cada detección incluye una puntuación de confianza de 0-100 % basada en la densidad de evidencia y la calidad de la coincidencia. Las técnicas se clasifican por gravedad (información, advertencia, crítica) para ayudar a priorizar la corrección. La puntuación global de ofuscación (0-100) y el nivel de resumen (Ninguna → Extrema) ofrecen una evaluación inmediata del estado de protección del código, con desgloses detallados por categoría de técnica.
• Evidencia accionable y recomendaciones: Cada técnica detectada incluye fragmentos de evidencia del código coincidente que muestran exactamente dónde se encontró la ofuscación, además de recomendaciones accionables para la desofuscación. La evidencia se extrae del contexto que rodea las coincidencias, mostrando la estructura del código circundante. Las recomendaciones enlazan con herramientas y técnicas específicas de desofuscación para cada patrón detectado, ofreciendo una ruta de corrección clara.

La ofuscación de código es la práctica deliberada de transformar código fuente o binario en una forma funcionalmente idéntica pero difícil de leer, entender o aplicar ingeniería inversa para las personas. Las técnicas de ofuscación van desde el simple renombrado de variables (cambiar nombres significativos como calculateTotal por a o _0x1234 ) hasta complejas transformaciones del flujo de control que reestructuran toda la lógica del programa. Aunque existen usos legítimos (proteger la propiedad intelectual, evitar manipulaciones), la ofuscación también es una técnica que los autores de malware usan habitualmente para evadir la detección por herramientas y analistas de seguridad. El kit de detección de ofuscación identifica 17 técnicas distintas en ocho categorías.

1. Detección de lenguaje: el motor analiza primero el código para detectar el lenguaje de programación (JavaScript, Python, PHP, Ruby, Java, C#, PowerShell) y el tipo de archivo (PHP, XML, HTML, JSON, YAML). La detección de lenguaje permite un emparejamiento de patrones específico de cada lenguaje para obtener resultados más precisos.
2. Escaneo basado en patrones: el código se analiza con 17 definiciones de técnicas, cada una con múltiples patrones regex. Estos patrones están diseñados para detectar firmas de ofuscación concretas, como llamadas a eval con argumentos largos, secuencias de escape hex/Unicode, llamadas a API de Base64, el formato Dean Edwards Packer, patrones de renombrado de variables e indicadores anti-análisis.
3. Recopilación de evidencia contextual: más allá del simple emparejamiento de patrones, el motor recopila evidencia contextual examinando la estructura del código alrededor de las coincidencias. Por ejemplo, la detección de eval recopila las líneas de código circundantes, la detección de codificación hex cuenta la densidad total de escapes y el análisis de renombrado de variables busca declaraciones de variables cortas de alta densidad por todo el código.
4. Puntuación de confianza y clasificación: cada técnica detectada recibe una puntuación de confianza de 0-100 % según la cantidad de evidencia y la calidad de la coincidencia. Las técnicas se clasifican por gravedad (información, advertencia, crítica) según su impacto de ofuscación. La puntuación global se normaliza a 0-100 y se asigna a un resumen de cinco niveles (Ninguna, Mínima, Moderada, Intensa, Extrema).

• Empaquetado: comprime y codifica toda la carga de código en un formato más pequeño que se decodifica en tiempo de ejecución. El Dean Edwards Packer es el ejemplo más conocido. El código empaquetado suele ser un 30-70 % más pequeño que el original, pero totalmente ilegible sin desempacar.
• Codificación: transforma literales de cadena y datos en representaciones codificadas (hex, Unicode, Base64, Base85) que se decodifican en tiempo de ejecución. La codificación multicapa aplica varias pasadas de codificación y requiere decodificación iterativa para revelar el contenido original.
• Flujo de control: reestructura el flujo del programa mediante técnicas como la ejecución dinámica basada en eval, los predicados opacos (condiciones siempre verdaderas o siempre falsas) y el aplanamiento de flujo de control (convertir todas las ramas en un despachador basado en switch).
• Ofuscación de cadenas: oculta literales de cadena mediante sustitución basada en arrays (cadenas guardadas en arrays de búsqueda accedidos por índice), concatenación dividida (cadenas fragmentadas) y acceso a propiedades calculadas (notación de corchetes con claves codificadas).
• Anti-análisis: detecta y responde a herramientas de depuración, modificación del código o entornos de ejecución inesperados. Incluye código autodefensivo que altera su comportamiento cuando se detecta manipulación y bloqueo de dominio que restringe la ejecución a nombres de host específicos.

Esta herramienta se ejecuta íntegramente en tu navegador con JavaScript del lado del cliente. Tu código, archivos subidos y resultados del análisis nunca se suben a ningún servidor, se almacenan en ninguna base de datos ni se transmiten por la red. Toda la computación del motor de detección, el emparejamiento de patrones, la puntuación de confianza y la generación del informe se ejecutan localmente en tu dispositivo. No hay llamadas a API, seguimiento analítico, cookies ni recogida de datos de ningún tipo. Esto la hace totalmente segura para analizar código propietario, muestras de malware o datos sensibles de investigación de seguridad.