Crea un entorno de Python aislado:

El backend de OpenAI en deobf_ai.py requiere adicionalmente el paquete de Python de OpenAI:

El backend de Anthropic usa la API HTTP a través de requests. El backend de Ollama espera un servidor de Ollama accesible.

Desofuscando JSCeal

1. Descomprime el payload

El payload original app.jsc de JSCeal está comprimido con Brotli. En Linux, se puede descomprimir con la utilidad brotli:

El flujo de trabajo por lotes bajo scripts/ realiza este paso con scripts/unpack_all.sh.

En Windows, o cuando la utilidad de línea de comandos brotli no esté disponible, se puede usar el helper de Node.js incluido como respaldo. Solo descomprime la entrada y no la ejecuta:

Escribe:

2. Desensambla la caché de código V8

La caché de código V8 es específica de la versión. Usa un desensamblador construido para la misma versión de V8 que el payload.

Las muestras de JSCeal utilizadas durante el desarrollo estaban basadas en V8 10.2.154.26. Los desensambladores predeterminados de una compilación de V8 no relacionada no funcionarán correctamente.

El árbol de fuentes contiene el código fuente del desensamblador y los parches de V8 requeridos bajo:

Un binario de Linux precompilado se distribuye con el lanzamiento del proyecto, mientras que el árbol de fuentes contiene el código fuente y los parches necesarios para recompilarlo. Hay una descripción detallada disponible en el Wiki del proyecto. Después de obtener o construir el v8dasm coincidente, ejecuta:

3. Descompila el desensamblado con View8

Alimenta el archivo desensamblado a view8.py y produce tanto la salida serializada para procesamiento posterior como el pseudocódigo legible por humanos:

Esto produce:

La opción --normalize hace que los identificadores de funciones generados sean reproducibles entre ejecuciones repetidas de desensamblado y descompilación.

4. Aplica todas las pasadas de desofuscación

Hay filtros separados para las capas individuales de ofuscación. Se pueden aplicar juntos a la salida serializada de View8 con deobf_all.py:

El filtro de cadenas predeterminado es la variante 2, utilizada por la mayoría de los payloads de JSCeal analizados. Para seleccionar explícitamente el esquema de cadenas más simple, agrega:

Las salidas típicas son:

El CSV de funciones resueltas es una caché específica de la muestra. Cuando está ausente, la pasada de cadenas recupera la configuración del decodificador requerida, escribe el CSV y continúa desofuscando cadenas en la misma ejecución. Las ejecuciones posteriores reutilizan la caché y normalmente son más rápidas.

No reutilices un CSV de funciones resueltas con un payload descompilado diferente.

5. Renombra funciones con un LLM

Después de que se hayan aplicado todos los filtros de desofuscación estructural, deobf_ai.py puede proponer nombres que describan el comportamiento de las funciones. Soporta backends de Anthropic, OpenAI y Ollama.

Pasa el modelo explícitamente para que las ejecuciones sean reproducibles.

Anthropic

OpenAI

Ollama

En el modo predeterminado, el renombrador construye un árbol de llamadas directas comenzando desde la función de entrada y renombra solo las funciones alcanzadas a través de llamadas. Agrega --greedy para incluir todas las referencias de funciones visibles, incluyendo callbacks y handlers asignados.

Reanudar desde un CSV de renombrado

El CSV de dos columnas generado actúa como una caché y permite que una ejecución interrumpida continúe. Selecciona una caché existente explícitamente con --csv:

En el modo normal, el CSV se trata como una caché potencialmente parcial. Los nombres en caché se aplican primero, las funciones ya cubiertas por la caché se eliminan del árbol de llamadas o referencias seleccionado, y el LLM se invoca solo para las funciones que permanecen sin resolver. Si el CSV cubre completamente ese árbol, no se requiere clave de API ni conexión LLM. Si cubre solo parte del árbol, el backend seleccionado se inicializa y los mapeos recién generados se agregan al mismo CSV.

Usa el mismo modo de árbol que se usó cuando se creó el CSV. Un CSV producido a partir de una ejecución --greedy normalmente necesita --greedy nuevamente si el objetivo es continuar esa ejecución en lugar de solo reutilizar el subconjunto de llamadas directas.

Aplicar un CSV existente sin un LLM

Usa --apply-csv-only cuando el CSV ya contenga las etiquetas que deseas aplicar, incluyendo mapeos revisados, editados, importados o rebasados:

Este modo:

• requiere un --csv explícito;
• carga y aplica los nombres coincidentes sin construir un árbol de llamadas o referencias;
• no realiza solicitudes LLM o API y no requiere una clave de API;
• no agrega nuevas filas al CSV;
• no se puede combinar con --func.

Las filas cuyo identificador de función original no exista en la entrada se ignoran. El comando falla cuando el CSV no contiene mapeos aplicables al archivo cargado.

Analizar una función en detalle

Usa --func con el identificador completo exacto de la función para solicitar un análisis semántico enfocado de una función desofuscada:

El análisis incluye un nombre propuesto, resumen de comportamiento, entradas y valor de retorno, efectos secundarios, lógica paso a paso, pseudocódigo limpio, evidencia de respaldo e incertidumbres sin resolver. Proporcionar --csv agrega nombres semánticos en caché como contexto para las referencias dentro de la función seleccionada sin modificar el corpus cargado. Usa --analysis-out analysis/function.md para guardar el informe como Markdown. Las coincidencias difusas se imprimen solo como sugerencias; el identificador de función solicitado debe coincidir exactamente.

Usa --help para opciones que controlan la temperatura, el procesamiento por lotes, el modo de pensamiento de Anthropic, los límites de tokens y las rutas personalizadas de CSV.

Los nombres generados por LLM son ayudas de navegación, no evidencia. Verifícalos siempre contra el cuerpo desofuscado.

6. Trabaja con la salida

La salida desofuscada de JSCeal suele ser muy grande. Carga la salida serializada de nuevo en View8 y divídela en árboles de funciones más pequeños.

En esta etapa, agrega --scope 0. La propagación de alcance ya ha sido realizada por el desofuscador, y repetirla puede propagar valores incorrectamente.

Un árbol basado en relaciones de declarador:

Una vista general compacta de llamadas directas:

Un árbol de referencias más amplio, incluyendo callbacks y handlers asignados:

Desofuscación de cadenas

Diferentes archivos JSC pueden usar diferentes modos de ofuscación de cadenas.

El modo más simple observado usa desplazamiento de índices y es manejado por deobf_str1.py. El modo más común de JSCeal usa Base64, RC4, cadenas fragmentadas e índices transformados; es manejado por deobf_str2.py.

El pipeline completo selecciona la variante 2 por defecto. Los filtros también se pueden ejecutar de forma independiente para pruebas.

deobf_str2.py

Usa --help para mostrar todos los modos y opciones disponibles:

Se puede iniciar una ejecución directa de desofuscación de cadenas con:

Durante la ejecución, el script identifica las funciones decodificadoras de cadenas, carga cualquier configuración en caché válida, resuelve las faltantes, guarda el CSV resultante y decodifica las cadenas. No se requiere una segunda ejecución.

Cuando deobf_str2.py se usa directamente, su nombre de CSV predeterminado es resolved_funcs.csv. Selecciona una ruta específica de la muestra con --csv o -c:

Al encadenar filtros individuales, conserva la salida serializada entre etapas para que las pasadas posteriores puedan continuar operando sobre los objetos de View8.

Pipeline predeterminado

deobf_all.py aplica las siguientes etapas en orden:

1. propagación de variables locales y valores de alcance;
2. reconstrucción de cadenas;
3. propagación de alcance y diccionario;
4. aplanamiento inverso del flujo de control;
5. actualización de cadenas expuestas por el aplanamiento inverso;
6. reemplazo de llamadas proxy y envoltorios de operaciones;
7. propagación de valores globales;
8. limpieza conservadora de temporales locales;
9. actualización final de llamadas a decodificadores de cadenas recién expuestas.

El renombrado de funciones asistido por LLM es opcional y se ejecuta por separado después de la desofuscación estructural.

Scripts auxiliares por lotes

El repositorio incluye un flujo de trabajo auxiliar completo bajo scripts/. Todos los scripts se mantienen en un solo directorio y obtienen la misma configuración centralizada.

El scripts/config.sh suministrado contiene rutas de un entorno de ejemplo:

Edita ese archivo una vez para configurar la ruta de instalación, el desensamblador V8 coincidente, los directorios del espacio de trabajo, los comandos externos, las rutas de registro y el diseño de recopilación. El espacio de trabajo por defecto es el directorio desde el que se lanza el script auxiliar.

Cada valor también se puede sobrescribir a través de una variable de entorno. JSC_HELPER_CONFIG puede seleccionar un archivo de configuración diferente.

Una ejecución por lotes típica es:

Los scripts conservan las convenciones utilizadas para el corpus de JSCeal, incluyendo tratar los archivos app.jsc descubiertos como payloads comprimidos con Brotli y nombrarlos por MD5. Revisa scripts/README.md antes de aplicar el flujo de trabajo a muestras no relacionadas.

Ejecución de corpus desatendida

Para un lote largo, scripts/run_unattended.sh lanza la desofuscación con nohup, escribe archivos de registro con marca de tiempo, PID y estado, y valida cada salida generada para detectar referencias sin resolver a funciones decodificadoras de cadenas en caché:

Se pueden proporcionar muestras seleccionadas explícitamente:

Estructura del repositorio

Ejecución de filtros individuales

Cada pasada principal se puede ejecutar por separado para pruebas. Ejecuta el script seleccionado con --help para ver su interfaz completa:

Limitaciones conocidas

• La lógica de desofuscación reconoce patrones observados en JSCeal y salidas relacionadas de javascript-obfuscator. Las nuevas variantes pueden requerir detectores o transformaciones adicionales.
• El flujo de control ambiguo se deja deliberadamente sin cambios en lugar de reescribirse especulativamente.
• La salida de View8 es pseudocódigo y puede usar notación que no es JavaScript válido.
• Los formatos de caché de código y desensamblado de V8 están vinculados a versiones específicas de V8.
• Las cachés de decodificadores de cadenas son específicas de la muestra.
• Los nombres asistidos por LLM pueden ser incorrectos incluso cuando suenan plausibles.

Validación

El pipeline ha sido probado por regresión contra el corpus de JSCeal utilizado en la investigación adjunta. Las comprobaciones básicas de lanzamiento incluyen:

Para cada muestra del corpus, verifica que la ejecución:

• se complete correctamente;
• escriba tanto la salida .pkl como la .txt;
• produzca el listado de cadenas decodificadas;
• produzca o reutilice el CSV esperado de funciones resueltas;
• no deje referencias sin resolver a decodificadores en la salida visible.

El script auxiliar desatendido automatiza la validación final de referencias a decodificadores.

Créditos

• View8 fue creado originalmente por Moshe Marelus.
• El pipeline de desofuscación fue desarrollado mediante el análisis de JSCeal.
• Las transformaciones de cadenas y flujo de control apuntan a patrones generados por javascript-obfuscator.

Licencia

El código fuente de JSC Deobfuscator creado para este proyecto está licenciado bajo la Licencia Pública General de GNU, versión 2 o (a tu elección) cualquier versión posterior (GPL-2.0-or-later). Consulta LICENSE para el texto completo de la licencia.

Copyright (C) 2026 Aleksandra "Hasherezade" Doniec @ Check Point Research.

El submódulo View8 es un proyecto separado. El material del desensamblador derivado de terceros bajo Utils/disasm/ conserva su procedencia existente y no se vuelve a licenciar mediante el aviso de copyright anterior.