Crea un ambiente Python isolato:

Il backend OpenAI in deobf_ai.py richiede inoltre il pacchetto Python OpenAI:

Il backend Anthropic usa l'API HTTP tramite requests. Il backend Ollama prevede un server Ollama raggiungibile.

Deoffuscare JSCeal

1. Decomprimi il payload

Il payload JSCeal originale app.jsc è compresso con Brotli. Su Linux, può essere decompresso con l'utilità brotli:

Il flusso di lavoro batch in scripts/ esegue questo passaggio con scripts/unpack_all.sh.

Su Windows, o quando l'utilità da riga di comando brotli non è disponibile, l'helper Node.js incluso può essere usato come fallback. Decomprime solo l'input e non lo esegue:

Scrive:

2. Disassembla la cache del codice V8

La cache del codice V8 è specifica per versione. Usa un disassemblatore compilato per la stessa versione V8 del payload.

I campioni JSCeal usati durante lo sviluppo erano basati su V8 10.2.154.26. I disassemblatori predefiniti di una build V8 non correlata non funzioneranno correttamente.

L'albero del sorgente contiene il sorgente del disassemblatore e le patch V8 richieste in:

Un binario Linux precompilato è distribuito con la release del progetto, mentre l'albero del sorgente contiene il sorgente e le patch necessarie per ricompilarlo. Una descrizione dettagliata è disponibile nella Wiki del progetto. Dopo aver ottenuto o compilato il v8dasm corrispondente, esegui:

3. Decompila il disassembly con View8

Fornisci il file disassemblato a view8.py e produci sia l'output serializzato per ulteriori elaborazioni sia lo pseudocodice leggibile dall'uomo:

Questo produce:

L'opzione --normalize rende gli identificatori di funzione generati riproducibili tra esecuzioni ripetute di disassembly e decompilazione.

4. Applica tutte le passate di deoffuscazione

Esistono filtri separati per i singoli livelli di offuscamento. Possono essere applicati insieme all'output View8 serializzato con deobf_all.py:

Il filtro stringhe predefinito è la variante 2, usata dalla maggior parte dei payload JSCeal analizzati. Per selezionare esplicitamente lo schema stringhe più semplice, aggiungi:

Gli output tipici sono:

Il CSV delle funzioni risolte è una cache specifica del campione. Quando è assente, la passata stringhe recupera la configurazione del decoder richiesta, scrive il CSV e continua a deoffuscare le stringhe nella stessa esecuzione. Le esecuzioni successive riusano la cache e sono normalmente più veloci.

Non riutilizzare un CSV di funzioni risolte con un payload decompilato diverso.

5. Rinomina le funzioni con un LLM

Dopo che tutti i filtri di deoffuscazione strutturale sono stati applicati, deobf_ai.py può proporre nomi che descrivono il comportamento delle funzioni. Supporta i backend Anthropic, OpenAI e Ollama.

Passa il modello esplicitamente affinché le esecuzioni rimangano riproducibili.

Anthropic

OpenAI

Ollama

Nella modalità predefinita, il rinominatore costruisce un albero di chiamate dirette a partire dalla funzione di ingresso e rinomina solo le funzioni raggiunte tramite chiamate. Aggiungi --greedy per includere tutti i riferimenti di funzione visibili, inclusi callback e handler assegnati.

Riprendi da un CSV di rinomina

Il CSV a due colonne generato funge da cache e consente a un'esecuzione interrotta di continuare. Seleziona una cache esistente esplicitamente con --csv:

Nella modalità normale, il CSV è trattato come una cache potenzialmente parziale. I nomi in cache vengono applicati per primi, le funzioni già coperte dalla cache vengono rimosse dall'albero di chiamate o riferimenti selezionato e l'LLM viene invocato solo per le funzioni che rimangono non risolte. Se il CSV copre completamente quell'albero, non è richiesta alcuna chiave API o connessione LLM. Se copre solo parte dell'albero, il backend selezionato viene inizializzato e le nuove mappature generate vengono aggiunte allo stesso CSV.

Usa la stessa modalità ad albero usata quando il CSV è stato creato. Un CSV prodotto da un'esecuzione --greedy normalmente richiede di nuovo --greedy se l'obiettivo è continuare quell'esecuzione piuttosto che riutilizzare solo il sottoinsieme di chiamate dirette.

Applica un CSV esistente senza LLM

Usa --apply-csv-only quando il CSV contiene già le etichette che vuoi applicare, incluse mappature revisionate, modificate, importate o ribasate:

Questa modalità:

• richiede un --csv esplicito;
• carica e applica i nomi corrispondenti senza costruire un albero di chiamate o riferimenti;
• non effettua richieste LLM o API e non richiede una chiave API;
• non aggiunge nuove righe al CSV;
• non può essere combinata con --func.

Le righe il cui identificatore di funzione originale non esiste nell'input vengono ignorate. Il comando fallisce quando il CSV non contiene mappature applicabili al file caricato.

Analizza una funzione in dettaglio

Usa --func con l'identificatore completo esatto della funzione per richiedere un'analisi semantica mirata di una funzione deoffuscata:

L'analisi include un nome proposto, un riepilogo del comportamento, input e valore di ritorno, effetti collaterali, logica passo-passo, pseudocodice ripulito, prove a supporto e incertezze non risolte. Fornire --csv aggiunge nomi semantici in cache come contesto per i riferimenti all'interno della funzione selezionata senza modificare il corpus caricato. Usa --analysis-out analysis/function.md per salvare il report come Markdown. Le corrispondenze fuzzy vengono stampate solo come suggerimenti; l'identificatore di funzione richiesto deve corrispondere esattamente.

Usa --help per le opzioni che controllano temperatura, batching, modalità di pensiero Anthropic, limiti di token e percorsi CSV personalizzati.

I nomi generati da LLM sono ausili di navigazione, non prove. Verificali sempre rispetto al corpo deoffuscato.

6. Lavora con l'output

L'output JSCeal deoffuscato è solitamente molto grande. Carica l'output serializzato di nuovo in View8 e suddividilo in alberi di funzioni più piccoli.

In questa fase, aggiungi --scope 0. La propagazione dello scope è già stata eseguita dal deoffuscatore e ripeterla potrebbe propagare i valori in modo errato.

Un albero basato sulle relazioni di dichiarante:

Una panoramica compatta delle chiamate dirette:

Un albero di riferimenti più ampio, inclusi callback e handler assegnati:

Deoffuscazione delle stringhe

File JSC diversi possono usare modalità diverse di offuscamento delle stringhe.

La modalità più semplice osservata usa lo spostamento degli indici ed è gestita da deobf_str1.py. La modalità JSCeal più comune usa Base64, RC4, stringhe a blocchi e indici trasformati; è gestita da deobf_str2.py.

La pipeline completa seleziona la variante 2 per impostazione predefinita. I filtri possono anche essere eseguiti indipendentemente per i test.

deobf_str2.py

Usa --help per visualizzare tutte le modalità e le opzioni disponibili:

Un'esecuzione diretta di deoffuscazione delle stringhe può essere avviata con:

Durante l'esecuzione, lo script identifica le funzioni di decodifica delle stringhe, carica le eventuali configurazioni in cache valide, risolve quelle mancanti, salva il CSV risultante e decodifica le stringhe. Una seconda esecuzione non è richiesta.

Quando deobf_str2.py viene usato direttamente, il suo nome CSV predefinito è resolved_funcs.csv. Seleziona un percorso specifico del campione con --csv o -c:

Quando si concatenano filtri individuali, preserva l'output serializzato tra le fasi affinché le passate successive possano continuare a operare sugli oggetti View8.

Pipeline predefinita

deobf_all.py applica le seguenti fasi in ordine:

1. propagazione di variabili locali e valori di scope;
2. ricostruzione delle stringhe;
3. propagazione di scope e dizionario;
4. riappiattimento del flusso di controllo;
5. aggiornamento delle stringhe esposte dal riappiattimento;
6. sostituzione di chiamate proxy e wrapper di operazioni;
7. propagazione dei valori globali;
8. pulizia conservativa dei temporanei locali;
9. aggiornamento finale delle chiamate di decodifica stringhe appena esposte.

La rinomina delle funzioni assistita da LLM è opzionale e viene eseguita separatamente dopo la deoffuscazione strutturale.

Script helper batch

Il repository include un flusso di lavoro helper completo in scripts/. Tutti gli script sono mantenuti in una directory e usano la stessa configurazione centralizzata.

Il scripts/config.sh fornito contiene percorsi da un ambiente di esempio:

Modifica quel file una volta per configurare il percorso di installazione, il disassemblatore V8 corrispondente, le directory del workspace, i comandi esterni, i percorsi dei log e il layout di raccolta. Il workspace predefinito è la directory da cui viene lanciato lo script helper.

Ogni valore può anche essere sovrascritto tramite una variabile d'ambiente. JSC_HELPER_CONFIG può selezionare un file di configurazione diverso.

Un'esecuzione batch tipica è:

Gli script preservano le convenzioni usate per il corpus JSCeal, inclusa la gestione dei file app.jsc scoperti come payload compressi con Brotli e la loro denominazione tramite MD5. Rivedi scripts/README.md prima di applicare il flusso di lavoro a campioni non correlati.

Esecuzione corpus non presidiata

Per un batch lungo, scripts/run_unattended.sh avvia la deoffuscazione con nohup, scrive file di log con timestamp, PID e stato, e valida ogni output generato per riferimenti non risolti a funzioni di decodifica stringhe in cache:

I campioni selezionati possono essere forniti esplicitamente:

Struttura del repository

Esecuzione di filtri individuali

Ogni passata principale può essere eseguita separatamente per i test. Esegui lo script selezionato con --help per vedere la sua interfaccia completa:

Limitazioni note

• La logica di deoffuscazione riconosce pattern osservati in JSCeal e nell'output correlato di javascript-obfuscator. Nuove varianti possono richiedere rilevatori o trasformazioni aggiuntivi.
• Il flusso di controllo ambiguo viene deliberatamente lasciato invariato piuttosto che riscritto in modo speculativo.
• L'output di View8 è pseudocodice e può usare notazioni che non sono JavaScript valido.
• I formati di cache del codice e di disassembly V8 sono legati a versioni V8 specifiche.
• Le cache dei decoder di stringhe sono specifiche del campione.
• I nomi assistiti da LLM possono essere errati anche quando sembrano plausibili.

Validazione

La pipeline è stata testata per regressione sul corpus JSCeal usato nella ricerca associata. I controlli di base della release includono:

Per ogni campione del corpus, verifica che l'esecuzione:

• completi correttamente;
• scriva sia l'output .pkl che .txt;
• produca l'elenco delle stringhe decodificate;
• produca o riusi il CSV previsto delle funzioni risolte;
• non lasci riferimenti di decoder non risolti nell'output visibile.

Lo script helper non presidiato automatizza la validazione finale dei riferimenti ai decoder.

Crediti

• View8 è stato originariamente creato da Moshe Marelus.
• La pipeline di deoffuscazione è stata sviluppata attraverso l'analisi di JSCeal.
• Le trasformazioni di stringhe e flusso di controllo mirano ai pattern generati da javascript-obfuscator.

Licenza

Il codice sorgente di JSC Deobfuscator scritto per questo progetto è concesso in licenza sotto la GNU General Public License, versione 2 o (a tua scelta) qualsiasi versione successiva (GPL-2.0-or-later). Vedi LICENSE per il testo completo della licenza.

Copyright (C) 2026 Aleksandra "Hasherezade" Doniec @ Check Point Research.

Il sottomodulo View8 è un progetto separato. Il materiale del disassemblatore derivato da terze parti in Utils/disasm/ mantiene la sua provenienza esistente e non viene rilicenziato dalla nota di copyright sopra.