Kit de deteção de ofuscação

• 17 categorias de deteção de técnicas: Analise código em 17 categorias abrangentes, incluindo deteção de eval, reconhecimento do Dean Edwards Packer, codificação hex/Unicode/Base64, substituição de cadeias baseada em arrays, injeção de código morto, predicados opacos, achatamento do fluxo de controlo, concatenação de cadeias, ofuscação de números, renomeação de variáveis, código autodefensivo/antiadulteração, bloqueio de domínio, acesso a propriedades calculadas, codificação multicamada e cifragem XOR. Cada técnica inclui padrões de correspondência detalhados adaptados a várias linguagens de programação.
• Suporte multilingue e multiformato: Deteta automaticamente a linguagem de programação (JavaScript, Python, PHP, Ruby, Java, C#, PowerShell) e o tipo de ficheiro (PHP, XML, HTML, JSON, YAML, Terraform) a partir do conteúdo do código. A correspondência de padrões adapta-se aos idiomas de ofuscação específicos da linguagem, garantindo deteção precisa quer analise scripts web, saídas de linguagens compiladas ou ficheiros de configuração. Toda a correspondência é ajustada aos padrões de ofuscação próprios de cada linguagem.
• Pontuação de confiança e classificação de gravidade: Cada deteção inclui uma pontuação de confiança de 0-100 % baseada na densidade de evidência e na qualidade da correspondência. As técnicas são classificadas por gravidade (informação, aviso, crítica) para ajudar a priorizar a remediação. A pontuação global de ofuscação (0-100) e o nível de resumo (Nenhuma → Extrema) fornecem uma avaliação imediata do estado de proteção do código, com detalhes por categoria de técnica.
• Evidência acionável e recomendações: Cada técnica detetada inclui excertos de evidência do código correspondente que mostram exatamente onde a ofuscação foi encontrada, além de recomendações acionáveis para desofuscação. A evidência é extraída do contexto em torno das correspondências, mostrando a estrutura do código circundante. As recomendações ligam a ferramentas e técnicas específicas de desofuscação para cada padrão detetado, oferecendo um caminho de remediação claro.

A ofuscação de código é a prática deliberada de transformar código-fonte ou binário numa forma funcionalmente idêntica mas difícil de ler, compreender ou fazer engenharia inversa por humanos. As técnicas de ofuscação vão desde a simples renomeação de variáveis (mudar nomes significativos como calculateTotal para a ou _0x1234 ) até transformações complexas do fluxo de controlo que reestruturam toda a lógica do programa. Embora existam usos legítimos (proteger propriedade intelectual, impedir adulteração), a ofuscação é também uma técnica comummente usada por autores de malware para escapar à deteção por ferramentas e analistas de segurança. O kit de deteção de ofuscação identifica 17 técnicas distintas em oito categorias.

1. Deteção de linguagem — O motor analisa primeiro o código para detetar a linguagem de programação (JavaScript, Python, PHP, Ruby, Java, C#, PowerShell) e o tipo de ficheiro (PHP, XML, HTML, JSON, YAML). A deteção de linguagem permite correspondência de padrões específica da linguagem para resultados mais precisos.
2. Análise por padrões — O código é analisado segundo 17 definições de técnicas, cada uma com vários padrões regex. Estes padrões são concebidos para detetar assinaturas de ofuscação específicas, como chamadas eval com argumentos longos, sequências de escape hex/Unicode, chamadas à API Base64, o formato Dean Edwards Packer, padrões de renomeação de variáveis e indicadores anti-análise.
3. Recolha de evidência contextual — Além da simples correspondência de padrões, o motor recolhe evidência contextual examinando a estrutura do código em torno das correspondências. Por exemplo, a deteção de eval recolhe as linhas de código circundantes, a deteção de codificação hex conta a densidade total de escapes e a análise de renomeação de variáveis procura declarações de variáveis curtas de alta densidade em todo o código.
4. Pontuação de confiança e classificação — Cada técnica detetada recebe uma pontuação de confiança de 0-100 % com base na quantidade de evidência e na qualidade da correspondência. As técnicas são classificadas por gravidade (informação, aviso, crítica) segundo o seu impacto de ofuscação. A pontuação global é normalizada para 0-100 e mapeada para um resumo de cinco níveis (Nenhuma, Mínima, Moderada, Forte, Extrema).

• Empacotamento: Comprime e codifica toda a carga de código num formato mais pequeno que é descodificado em tempo de execução. O Dean Edwards Packer é o exemplo mais conhecido. O código empacotado é tipicamente 30-70 % mais pequeno do que o original, mas totalmente ilegível sem desempacotar.
• Codificação: Transforma literais de cadeia e dados em representações codificadas (hex, Unicode, Base64, Base85) que são descodificadas em tempo de execução. A codificação multicamada aplica várias passagens de codificação, exigindo descodificação iterativa para revelar o conteúdo original.
• Fluxo de controlo: Reestrutura o fluxo do programa com técnicas como a execução dinâmica baseada em eval, predicados opacos (condições sempre verdadeiras ou sempre falsas) e achatamento do fluxo de controlo (converter todos os ramos num despachante baseado em switch).
• Ofuscação de cadeias: Oculta literais de cadeia através de substituição baseada em arrays (cadeias guardadas em arrays de pesquisa acedidos por índice), concatenação dividida (cadeias fragmentadas) e acesso a propriedades calculadas (notação de parênteses retos com chaves codificadas).
• Anti-análise: Deteta e responde a ferramentas de depuração, modificação do código ou ambientes de execução inesperados. Inclui código autodefensivo que altera o comportamento quando é detetada adulteração e bloqueio de domínio que restringe a execução a nomes de host específicos.

Esta ferramenta é executada inteiramente no seu navegador com JavaScript do lado do cliente. O seu código, ficheiros carregados e resultados da análise nunca são enviados para qualquer servidor, armazenados em qualquer base de dados ou transmitidos pela rede. Toda a computação do motor de deteção, correspondência de padrões, pontuação de confiança e geração de relatório é executada localmente no seu dispositivo. Não há chamadas a API, rastreamento analítico, cookies ou recolha de dados de qualquer tipo. Isto torna-a totalmente segura para analisar código proprietário, amostras de malware ou dados sensíveis de investigação de segurança.