Crie um ambiente Python isolado:

O backend OpenAI em deobf_ai.py requer adicionalmente o pacote Python OpenAI:

O backend Anthropic usa a API HTTP por meio de requests. O backend Ollama espera um servidor Ollama acessível.

Desofuscando JSCeal

1. Descomprima o payload

O payload JSCeal original app.jsc é comprimido com Brotli. No Linux, ele pode ser descomprimido com o utilitário brotli:

O fluxo de trabalho em lote sob scripts/ executa esta etapa com scripts/unpack_all.sh.

No Windows, ou quando o utilitário de linha de comando brotli não estiver disponível, o auxiliar Node.js incluído pode ser usado como fallback. Ele apenas descomprime a entrada e não a executa:

Ele grava:

2. Desmonte o cache de código V8

O cache de código V8 é específico da versão. Use um desmontador compilado para a mesma versão do V8 que o payload.

As amostras JSCeal usadas durante o desenvolvimento eram baseadas no V8 10.2.154.26. Desmontadores padrão de uma compilação V8 não relacionada não funcionarão corretamente.

A árvore de fontes contém o código-fonte do desmontador e os patches V8 necessários sob:

Um binário Linux pré-compilado é distribuído com o lançamento do projeto, enquanto a árvore de fontes contém o código-fonte e os patches necessários para recompilá-lo. Uma descrição detalhada está disponível na Wiki do projeto. Após obter ou compilar o v8dasm correspondente, execute:

3. Descompile a desmontagem com o View8

Alimente o arquivo desmontado para view8.py e produza tanto a saída serializada para processamento posterior quanto o pseudocódigo legível por humanos:

Isso produz:

A opção --normalize torna os identificadores de funções gerados reproduzíveis em execuções repetidas de desmontagem e descompilação.

4. Aplique todas as passagens de desofuscação

Existem filtros separados para as camadas individuais de ofuscação. Eles podem ser aplicados juntos à saída serializada do View8 com deobf_all.py:

O filtro de strings padrão é a variante 2, usada pela maioria dos payloads JSCeal analisados. Para selecionar o esquema de strings mais simples explicitamente, adicione:

As saídas típicas são:

O CSV de funções resolvidas é um cache específico da amostra. Quando ele está ausente, a passagem de strings recupera a configuração necessária do decodificador, grava o CSV e continua desofuscando strings na mesma execução. Execuções posteriores reutilizam o cache e são normalmente mais rápidas.

Não reutilize um CSV de funções resolvidas com um payload descompilado diferente.

5. Renomeie funções com um LLM

Após todos os filtros estruturais de desofuscação terem sido aplicados, deobf_ai.py pode propor nomes que descrevem o comportamento das funções. Ele suporta backends Anthropic, OpenAI e Ollama.

Passe o modelo explicitamente para que as execuções permaneçam reproduzíveis.

Anthropic

OpenAI

Ollama

No modo padrão, o renomeador constrói uma árvore de chamadas diretas começando pela função de entrada e renomeia apenas funções alcançadas por meio de chamadas. Adicione --greedy para incluir todas as referências de funções visíveis, incluindo callbacks e manipuladores atribuídos.

Retomar a partir de um CSV de renomeação

O CSV de duas colunas gerado atua como um cache e permite que uma execução interrompida continue. Selecione um cache existente explicitamente com --csv:

No modo normal, o CSV é tratado como um cache potencialmente parcial. Os nomes em cache são aplicados primeiro, funções já cobertas pelo cache são removidas da árvore de chamadas ou referências selecionada, e o LLM é invocado apenas para funções que permanecem não resolvidas. Se o CSV cobrir completamente essa árvore, nenhuma chave de API ou conexão LLM é necessária. Se cobrir apenas parte da árvore, o backend selecionado é inicializado e os mapeamentos recém-gerados são anexados ao mesmo CSV.

Use o mesmo modo de árvore que foi usado quando o CSV foi criado. Um CSV produzido a partir de uma execução --greedy normalmente precisa de --greedy novamente se o objetivo for continuar essa execução em vez de apenas reutilizar o subconjunto de chamadas diretas.

Aplicar um CSV existente sem um LLM

Use --apply-csv-only quando o CSV já contém os rótulos que você deseja aplicar, incluindo mapeamentos revisados, editados, importados ou rebasados:

Este modo:

• requer um --csv explícito;
• carrega e aplica os nomes correspondentes sem construir uma árvore de chamadas ou referências;
• não faz solicitações LLM ou de API e não requer uma chave de API;
• não anexa novas linhas ao CSV;
• não pode ser combinado com --func.

Linhas cujo identificador de função original não existe na entrada são ignoradas. O comando falha quando o CSV não contém mapeamentos aplicáveis ao arquivo carregado.

Analisar uma função em detalhes

Use --func com o identificador completo exato da função para solicitar uma análise semântica focada de uma função desofuscada:

A análise inclui um nome proposto, resumo do comportamento, entradas e valor de retorno, efeitos colaterais, lógica passo a passo, pseudocódigo limpo, evidências de apoio e incertezas não resolvidas. Fornecer --csv adiciona nomes semânticos em cache como contexto para referências dentro da função selecionada sem modificar o corpus carregado. Use --analysis-out analysis/function.md para salvar o relatório como Markdown. Correspondências difusas são impressas apenas como sugestões; o identificador de função solicitado deve corresponder exatamente.

Use --help para opções que controlam temperatura, processamento em lote, modo de pensamento Anthropic, limites de tokens e caminhos CSV personalizados.

Nomes gerados por LLM são auxílios de navegação, não evidências. Sempre verifique-os contra o corpo desofuscado.

6. Trabalhe com a saída

A saída JSCeal desofuscada é geralmente muito grande. Carregue a saída serializada de volta no View8 e divida-a em árvores de funções menores.

Nesta etapa, adicione --scope 0. A propagação de escopo já foi realizada pelo desofuscador, e repeti-la pode propagar valores incorretamente.

Uma árvore baseada em relações de declarador:

Uma visão geral compacta de chamadas diretas:

Uma árvore de referências mais ampla, incluindo callbacks e manipuladores atribuídos:

Desofuscação de strings

Diferentes arquivos JSC podem usar diferentes modos de ofuscação de strings.

O modo mais simples observado usa deslocamento de índice e é tratado por deobf_str1.py. O modo JSCeal mais comum usa Base64, RC4, strings fragmentadas e índices transformados; ele é tratado por deobf_str2.py.

O pipeline completo seleciona a variante 2 por padrão. Os filtros também podem ser executados independentemente para testes.

deobf_str2.py

Use --help para exibir todos os modos e opções disponíveis:

Uma execução direta de desofuscação de strings pode ser iniciada com:

Durante a execução, o script identifica as funções decodificadoras de strings, carrega quaisquer configurações em cache válidas, resolve as ausentes, salva o CSV resultante e decodifica as strings. Uma segunda execução não é necessária.

Quando deobf_str2.py é usado diretamente, seu nome CSV padrão é resolved_funcs.csv. Selecione um caminho específico da amostra com --csv ou -c:

Ao encadear filtros individuais, preserve a saída serializada entre os estágios para que passagens posteriores possam continuar operando nos objetos View8.

Pipeline padrão

deobf_all.py aplica os seguintes estágios em ordem:

1. propagação de valores de variáveis locais e de escopo;
2. reconstrução de strings;
3. propagação de escopo e dicionário;
4. desachatamento de fluxo de controle;
5. atualização das strings expostas pelo desachatamento;
6. substituição de chamadas proxy e wrappers de operações;
7. propagação de valores globais;
8. limpeza conservadora de temporários locais;
9. atualização final das chamadas recém-expostas ao decodificador de strings.

A renomeação de funções assistida por LLM é opcional e é executada separadamente após a desofuscação estrutural.

Scripts auxiliares em lote

O repositório inclui um fluxo de trabalho auxiliar completo sob scripts/. Todos os scripts são mantidos em um único diretório e usam a mesma configuração centralizada.

O scripts/config.sh fornecido contém caminhos de um ambiente de exemplo:

Edite esse arquivo uma vez para configurar o caminho de instalação, o desmontador V8 correspondente, os diretórios do espaço de trabalho, comandos externos, caminhos de log e layout de coleta. O espaço de trabalho padrão é o diretório a partir do qual o script auxiliar é iniciado.

Cada valor também pode ser substituído por meio de uma variável de ambiente. JSC_HELPER_CONFIG pode selecionar um arquivo de configuração diferente.

Uma execução típica em lote é:

Os scripts preservam as convenções usadas para o corpus JSCeal, incluindo tratar os arquivos app.jsc descobertos como payloads comprimidos com Brotli e nomeá-los por MD5. Revise scripts/README.md antes de aplicar o fluxo de trabalho a amostras não relacionadas.

Execução de corpus não supervisionada

Para um lote longo, scripts/run_unattended.sh inicia a desofuscação com nohup, grava arquivos de log, PID e status com carimbo de data/hora, e valida cada saída gerada quanto a referências não resolvidas a funções decodificadoras de strings em cache:

Amostras selecionadas podem ser fornecidas explicitamente:

Estrutura do repositório

Executando filtros individuais

Cada passagem principal pode ser executada separadamente para testes. Execute o script selecionado com --help para ver sua interface completa:

Limitações conhecidas

• A lógica de desofuscação reconhece padrões observados no JSCeal e em saídas relacionadas do javascript-obfuscator. Novas variantes podem exigir detectores ou transformações adicionais.
• Fluxo de controle ambíguo é deliberadamente deixado inalterado em vez de reescrito especulativamente.
• A saída do View8 é pseudocódigo e pode usar notação que não é JavaScript válido.
• Os formatos de cache de código e desmontagem do V8 estão vinculados a versões específicas do V8.
• Os caches de decodificadores de strings são específicos da amostra.
• Nomes assistidos por LLM podem estar errados mesmo quando parecem plausíveis.

Validação

O pipeline foi testado por regressão contra o corpus JSCeal usado na pesquisa que o acompanha. As verificações básicas de lançamento incluem:

Para cada amostra do corpus, verifique se a execução:

• conclui com sucesso;
• grava tanto a saída .pkl quanto a .txt;
• produz a listagem de strings decodificadas;
• produz ou reutiliza o CSV esperado de funções resolvidas;
• não deixa referências não resolvidas a decodificadores na saída visível.

O script auxiliar não supervisionado automatiza a validação final de referências a decodificadores.

Créditos

• O View8 foi originalmente criado por Moshe Marelus.
• O pipeline de desofuscação foi desenvolvido por meio da análise do JSCeal.
• As transformações de strings e fluxo de controle visam padrões gerados pelo javascript-obfuscator.

Licença

O código-fonte do JSC Deobfuscator criado para este projeto é licenciado sob a GNU General Public License, versão 2 ou (a seu critério) qualquer versão posterior (GPL-2.0-or-later). Consulte LICENSE para o texto completo da licença.

Copyright (C) 2026 Aleksandra "Hasherezade" Doniec @ Check Point Research.

O submódulo View8 é um projeto separado. Material de desmontador derivado de terceiros sob Utils/disasm/ mantém sua proveniência existente e não é relicenciado pelo aviso de copyright acima.