DebuggerJ++

Debugger / désassembleur avec GUI pour l'analyse de malware sur des exécutables 32 et 64 bits, dans le style d'OllyDbg / x64dbg. Conçu pour disséquer virus et malware à des fins défensives : créer des signatures d'antivirus/antimalware, comprendre le comportement et nettoyer les machines.

⚠️ Analysez toujours les échantillons dans une machine virtuelle isolée / sandbox, sans réseau, avec des snapshots. Lancer un binaire sous le debugger exécute son code.

Caractéristiques (v0.2)

• Ouvrir .exe / .dll / .sys et analyse complète du PE (32/64 bits, entrypoint, sections, imports, exports, entropie).
• Fenêtre CPU : désassemblage (Zydis) du code, avec mise en évidence de call/jmp/ret, destination des sauts, guides visuels de flux pour jmp/jz/jnz/etc. et l'instruction actuelle lorsque vous êtes en pause. Le menu contextuel Jump To ouvre la destination du saut.
• Breakpoints logiciels (0xCC), matériels (DR0–DR3, exécution/écriture/lecture-écriture), par exception et en mémoire via PAGE_GUARD (accès, écriture ou exécution). Inclut liste, étiquettes, activation/désactivation, conditions de registres/hits, actions de log uniquement et breakpoints d'événements (threads/DLL). Ceux en mémoire se configurent en pause et fonctionnent par pages, comme la technique utilisée par OllyDbg.
• Contrôles : Play (lancer / continuer), Pause, Step Into (F7), Step Over (F8), Step To Ret, Rewind (navigation dans l'historique), Stop et redémarrage de la session.
• Registres (x64 : RAX..R15/RIP/EFLAGS ; x86 : EAX..EIP) en pause, avec édition directe.
• Mémoire : dump hex + carte des régions (VirtualQueryEx) avec permissions, type et module ; saut rapide vers RSP, lecture/écriture, assemblage avec Keystone et patchage/NOP.
• Strings & recherche : extraction de chaînes ASCII/UTF-16 et recherche de motifs hex avec jokers (48 8B ?? C3) ou de texte, dans le fichier ou en mémoire vive.
• Modules & symboles : sections, imports/exports du PE, TLS callbacks, chaîne SEH x86, DLLs chargées à l'exécution, résolution de symboles avec DbgHelp et source/ligne lorsqu'il y a un PDB.
• Navigation et traces : références vers code/données, pile d'appels, run trace, fonctions candidates, xrefs/loops/bookmarks persistants, annotations (commentaires/étiquettes) et sauts vers une adresse ou un module/DLL. Un double-clic sur un module ouvre son code dans CPU.
• Cache d'analyse : strings, détections de packer et annotations sont enregistrés dans cache/ à côté du debugger. Ils sont réutilisés à la réouverture d'un fichier et invalidés si changent sa taille, sa date de modification ou la longueur minimale des strings.
• Sessions et rapports : sessions .dbgjsession avec annotations et breakpoints ; exportation de rapport Markdown avec objectif, sections, détections, état et breakpoints.
• Packers : détection par signatures (set embarqué + signatures/userdb.txt style PEiD) et heuristique d'entropie / sections suspectes.
• Unpacking assisté : recherche d'OEP, dump memory-aligned, résolution et reconstruction expérimentale de l'IAT, et options anti-anti-debug pour une analyse contrôlée.
• Panneau d'IA multiagent : Anthropic/Claude, ChatGPT/OpenAI, DeepSeek, Gemini, Grok, Mistral, Groq, OpenRouter, Ollama et LM Studio. Le chat peut inclure automatiquement les registres, la pile et le désassemblage actuel.
• Tools pour l'IA : en activant Permitir control del debugger (tools), l'agent peut consulter ou contrôler la session : ouvrir/lancer/redémarrer, continuer ou mettre en pause, faire des pas, lire la mémoire et les registres, désassembler, rechercher, poser des breakpoints, naviguer vers des DLLs, patcher et exécuter les autres opérations exposées par le debugger.
• Fenêtre Code : transforme une routine en pseudocode C++ explicatif en utilisant le désassemblage, la mémoire, les symboles et les modules. C'est une interprétation pour l'analyse, non une récupération littérale du code source.
• MCP : serveur local compatible avec les outils MCP pour qu'un agent externe contrôle DebuggerJ++. Consultez mcp/README.md.
• Plugins extensibles : manifestes JSON et DLLs natives x64 optionnelles dans plugins/ ajoutent des actions à l'UI et des tools dynamiques au MCP. Les DLL ne sont chargées que lorsque l'utilisateur active expressément l'option et doivent être de confiance. Consultez docs/PLUGINS.md.
• Interface configurable : panneaux détachables, visibilité persistante, mosaïque et layouts personnalisés style OllyDbg/x64dbg.

Compiler (Windows)

Compilez uniquement sous Windows avec MSVC, car cela utilise l'API Windows Debug, DbgHelp, Direct3D 11 et WinHTTP.

1. Installez Visual Studio 2022 avec Desktop development with C++, CMake 3.20+ et Git.

2. Double-cliquez sur build.bat (ou depuis un x64 Native Tools Command Prompt) :

   build.bat
   

   CMake téléchargera uniquement (FetchContent) Zydis, Dear ImGui et nlohmann/json.

3. Exécutez build\Release\DebuggerJ++.exe en tant qu'Administrateur (pour pouvoir déboguer).

Utilisation rapide

1. Fichier → Ouvrir .exe. Le CPU, les sections, les chaînes et l'analyse des packers sont remplis.
2. Placez un breakpoint sur l'EntryPoint (panneau Breakpoints) et appuyez sur Play (lancer).
3. Le processus s'arrête au breakpoint du loader ; appuyez à nouveau sur Play pour atteindre votre breakpoint. À partir de là, utilisez Step Into / Step Over, inspectez les Registres et la Mémoire, recherchez des chaînes, et interrogez l'agent IA sur l'ASM.
4. Dans Window → Code, utilisez Utiliser RIP et Interpréter comme C++ pour obtenir une explication de la routine actuelle.

Agents IA et clés API

Configurez les agents dans Tools → Options → AI. Au premier démarrage, l'application détecte, si elles existent, les variables ANTHROPIC_API_KEY et OPENAI_API_KEY ; vous pouvez également coller une clé dans le formulaire d'un agent. ChatGPT/OpenAI est proposé comme preset ChatGPT (OpenAI).

Les identifiants sont enregistrés uniquement dans ai_config.json à côté de l'exécutable pour l'usage local de l'application. Ne téléversez pas ce fichier ni les fichiers .env dans le dépôt : ils sont déjà exclus par .gitignore.

Pour permettre à l'agent d'agir, sélectionnez un fournisseur/modèle compatible avec le function calling et activez Autoriser le contrôle du debugger (tools) dans la fenêtre IA. La fenêtre Code limite l'agent à des outils de consultation afin de ne pas altérer le processus.

Architecture

Voir docs/ARQUITECTURA.md.

Licence

DebuggerJ++ est distribué sous la GNU General Public License v3.0 ou ultérieure (GPL-3.0-or-later). Vous pouvez l'utiliser, l'étudier, le modifier et le redistribuer selon ces termes. Les dépendances tierces conservent leurs propres avis et licences.

Limitations et améliorations futures

Il s'agit d'une base fonctionnelle pour l'analyse défensive. Domaines prévus pour une prochaine version :

• Conditions avancées exprimées sous forme de règles/expressions pour les breakpoints.
• S'attacher à des processus déjà en cours d'exécution, suivi des processus enfants et meilleur contrôle des threads.
• Symboles PDB plus complets, informations de source et stack walking robuste en l'absence de frame pointers.
• Persistance complète des sessions, exportation de rapports et une vue de graphe de flux de contrôle.
• Validations supplémentaires pour les opérations de modification et améliorations lors de la reconstruction de l'IAT.