Boîte à outils de détection d'obfuscation

• 17 catégories de détection de techniques : Analysez le code selon 17 catégories complètes, notamment la détection d'eval, la reconnaissance du Dean Edwards Packer, l'encodage hex/Unicode/Base64, le remplacement de chaînes basé sur des tableaux, l'injection de code mort, les prédicats opaques, l'aplatissement du flux de contrôle, la concaténation de chaînes, l'obfuscation de nombres, le renommage de variables, le code autodéfensif/anti-falsification, le verrouillage de domaine, l'accès à des propriétés calculées, l'encodage multicouche et le chiffrement XOR. Chaque technique inclut des motifs de correspondance détaillés adaptés à plusieurs langages de programmation.
• Prise en charge multilingue et multiformat : Détecte automatiquement le langage de programmation (JavaScript, Python, PHP, Ruby, Java, C#, PowerShell) et le type de fichier (PHP, XML, HTML, JSON, YAML, Terraform) à partir du contenu du code. La correspondance de motifs s'adapte aux idiomes d'obfuscation propres au langage, assurant une détection précise que vous analysiez des scripts web, des sorties de langages compilés ou des fichiers de configuration. Toute la correspondance est ajustée aux motifs d'obfuscation propres à chaque langage.
• Score de confiance et classification de gravité : Chaque détection inclut un score de confiance de 0-100 % basé sur la densité de preuves et la qualité de la correspondance. Les techniques sont classées par gravité (information, avertissement, critique) pour aider à prioriser la remédiation. Le score global d'obfuscation (0-100) et le niveau de synthèse (Aucune → Extrême) donnent une évaluation immédiate de l'état de protection du code, avec des décompositions détaillées par catégorie de technique.
• Preuves exploitables et recommandations : Chaque technique détectée inclut des extraits de preuves de code correspondant montrant exactement où l'obfuscation a été trouvée, ainsi que des recommandations exploitables pour la désobfuscation. Les preuves sont extraites du contexte autour des correspondances, montrant la structure du code environnant. Les recommandations renvoient à des outils et techniques de désobfuscation spécifiques pour chaque motif détecté, offrant un chemin de remédiation clair.

L'obfuscation de code est la pratique délibérée consistant à transformer du code source ou binaire en une forme fonctionnellement identique mais difficile à lire, comprendre ou rétro-concevoir pour les humains. Les techniques d'obfuscation vont du simple renommage de variables (changer des noms significatifs comme calculateTotal en a ou _0x1234 ) à des transformations complexes du flux de contrôle qui restructurent toute la logique du programme. Si des usages légitimes existent (protéger la propriété intellectuelle, empêcher la falsification), l'obfuscation est aussi une technique couramment utilisée par les auteurs de malwares pour échapper à la détection par les outils et analystes de sécurité. La boîte à outils de détection d'obfuscation identifie 17 techniques distinctes réparties en huit catégories.

1. Détection du langage — Le moteur analyse d'abord le code pour détecter le langage de programmation (JavaScript, Python, PHP, Ruby, Java, C#, PowerShell) et le type de fichier (PHP, XML, HTML, JSON, YAML). La détection du langage permet une correspondance de motifs propre au langage pour des résultats plus précis.
2. Analyse par motifs — Le code est analysé selon 17 définitions de techniques, chacune comportant plusieurs motifs regex. Ces motifs sont conçus pour détecter des signatures d'obfuscation spécifiques comme les appels eval avec de longs arguments, les séquences d'échappement hex/Unicode, les appels d'API Base64, le format Dean Edwards Packer, les motifs de renommage de variables et les indicateurs anti-analyse.
3. Collecte de preuves contextuelles — Au-delà de la simple correspondance de motifs, le moteur recueille des preuves contextuelles en examinant la structure du code autour des correspondances. Par exemple, la détection d'eval collecte les lignes de code environnantes, la détection d'encodage hex compte la densité totale d'échappements et l'analyse de renommage de variables recherche des déclarations de variables courtes à haute densité dans tout le code.
4. Score de confiance et classification — Chaque technique détectée reçoit un score de confiance de 0-100 % basé sur la quantité de preuves et la qualité de la correspondance. Les techniques sont classées par gravité (information, avertissement, critique) selon leur impact d'obfuscation. Le score global est normalisé de 0 à 100 et mappé à une synthèse à cinq niveaux (Aucune, Minimale, Modérée, Forte, Extrême).

• Packing : Compresse et encode l'ensemble de la charge de code dans un format plus petit qui est décodé à l'exécution. Le Dean Edwards Packer en est l'exemple le plus connu. Le code packé est généralement 30-70 % plus petit que l'original mais totalement illisible sans dépackage.
• Encodage : Transforme les littéraux de chaîne et les données en représentations encodées (hex, Unicode, Base64, Base85) décodées à l'exécution. L'encodage multicouche applique plusieurs passes d'encodage, nécessitant un décodage itératif pour révéler le contenu original.
• Flux de contrôle : Restructure le flux du programme à l'aide de techniques comme l'exécution dynamique basée sur eval, les prédicats opaques (conditions toujours vraies ou toujours fausses) et l'aplatissement du flux de contrôle (convertir toutes les branches en un répartiteur basé sur switch).
• Obfuscation de chaînes : Cache les littéraux de chaîne à l'aide d'un remplacement basé sur des tableaux (chaînes stockées dans des tableaux de recherche accédés par index), d'une concaténation fractionnée (chaînes fragmentées) et d'un accès à des propriétés calculées (notation entre crochets avec clés encodées).
• Anti-analyse : Détecte et répond aux outils de débogage, à la modification du code ou à des environnements d'exécution inattendus. Comprend du code autodéfensif qui modifie son comportement lorsque une falsification est détectée et un verrouillage de domaine qui restreint l'exécution à des noms d'hôtes spécifiques.

Cet outil s'exécute entièrement dans votre navigateur avec du JavaScript côté client. Votre code, les fichiers téléversés et les résultats d'analyse ne sont jamais envoyés à un serveur, stockés dans une base de données ou transmis sur le réseau. Toute la computation du moteur de détection, la correspondance de motifs, le calcul du score de confiance et la génération de rapport s'exécutent localement sur votre appareil. Il n'y a aucun appel API, suivi analytique, cookie ou collecte de données d'aucune sorte. Cela le rend totalement sûr pour analyser du code propriétaire, des échantillons de malware ou des données sensibles de recherche en sécurité.