Engenharia Reversa com IA

Um guia prático de pesquisa para engenharia reversa de firmware e software criptografados, usando IA para apoiar análise, experimentos e revisão.

A questão central é onde o material protegido se torna utilizável e se esse ponto é observável. Recuperar uma chave é uma das rotas. Outras incluem encontrar um artefato em texto claro equivalente, observar uma transformação, executar um leitor existente ou reconstruir o comportamento sem recuperar a chave.

Este repositório contém uma pesquisa de 31 métodos, um framework de evidências, exemplos de fontes públicas e modelos de investigação reutilizáveis. Ele abrange análise de arquivos, instrumentação de software, rehosting, aquisição de hardware, canais laterais e limitações criptográficas. Cada método distingue pré-requisitos, resultados possíveis e as evidências necessárias para sustentar uma conclusão.

Comece aqui

1. Siga o fluxo de trabalho de investigação para identificar o artefato, o resultado desejado e o acesso disponível.
2. Use a pesquisa de métodos para escolher um experimento adequado.
3. Aplique o framework de evidências antes de alegar recuperação ou explicar uma falha.
4. Use o guia de colaboração com IA para dividir pesquisa e revisão sem transformar a concordância do modelo em prova.
5. Registre o experimento no modelo de investigação.

Os estudos de caso de fontes públicas ilustram o design de imagens criptografadas, a descriptografia transparente de flash, a persistência de configurações do Android e os marcos de inicialização. O índice de fontes vincula a documentação, as implementações e os artigos usados ao longo do guia.

Escolha o resultado antes de escolher a ferramenta

Resultado desejado	O que o estabeleceria
Um artefato em texto claro	Autenticação corretamente delimitada ou concordância de referência independente, com estrutura coerente
Uma chave de conteúdo reutilizável	Descriptografia validada de forma independente em amostras aplicáveis, com o escopo da chave identificado
Uma chave de dispositivo ou raiz	Identidade e escopo da chave verificados; uma chave de conteúdo ou handle de chave sozinho é insuficiente
Uma explicação do comportamento	Rastreamentos concretos, fluxo de dados e testes que cubram o comportamento declarado
Um executável reconstruído	Correção de formato mais comportamento representativo em um ambiente documentado
Uma imagem modificada aceita pelo fornecedor	Evidência separada para a assinatura real e o caminho de aceitação de inicialização

Correções que mudam a investigação

• Alta entropia é uma pista sobre aleatoriedade. Compressão e criptografia podem ambas produzi-la; registre a ferramenta, a escala e o tamanho da janela. Documentação de entropia do Binwalk
• O posicionamento do bootloader segue a plataforma e o formato da imagem. Os primeiros 64 KB não são uma regra geral de extração, e um pacote de atualização pode omitir o bootloader.
• Criptografia e assinaturas resolvem problemas diferentes. Recuperar o texto claro não fornece a chave de assinatura nem estabelece que uma imagem modificada será inicializada. Imagens criptografadas do MCUboot
• Um comando bem-sucedido, uma string plausível, uma biblioteca carregada ou o retorno de um wrapper precisam de validação na camada relevante para a alegação. Veja os exemplos baseados em fontes.
• Criptografia forte não se torna praticamente quebrável por um descompilador ou modelo de linguagem. O progresso útil geralmente vem da implementação ao redor, de representações acessíveis ou de uma fraqueza específica demonstrada. Pesquisa sobre biclique do AES completo

Escopo e proveniência

A pesquisa inicial foi desenvolvida por meio de pesquisa especializada assistida por IA e revisão crítica, incluindo contribuições de Astra, Opus e Fable. As revisões foram integradas seletivamente: interpretações sem suporte e trabalhos sobrepostos foram rejeitados. O guia resultante faz alegações metodológicas e cita fontes públicas; ele não reivindica um novo descriptografador universal nem um comprometimento demonstrado de um dispositivo específico.

O repositório público contém texto de pesquisa, links públicos, modelos em branco e uma ferramenta de validação de documentação. Binários de firmware, capturas privadas, identificadores de dispositivos, chaves extraídas, credenciais e logs operacionais estão fora do seu escopo de publicação. Aplique os métodos a sistemas e artefatos que você está autorizado a examinar.

Validar o repositório

Python 3.9 ou posterior é suficiente; nenhum pacote de terceiros é necessário.

python3 tools/check_docs.py
python3 tools/check_docs.py --self-test

O harness local verifica o inventário de arquivos, os links Markdown, a numeração dos métodos, o índice de fontes, os registros de versão e vários padrões comuns de publicação acidental. Ele não executa firmware, não contata dispositivos, não busca sites vinculados nem comprova que todas as afirmações técnicas estão corretas. A verificação das fontes continua sendo parte da revisão da pesquisa.

Versão atual da documentação: 1.0.0. Consulte o changelog e o histórico somente de acréscimos.