mcdulltii/obfDetect

🔎 obfDetect: điểm dấu mã bị obfuscate ngay trong IDA

Biến những dấu hiệu phức tạp của mã che giấu thành danh sách hàm có thể kiểm tra nhanh hơn.

obfDetect là plugin Python cho IDA 7.4+, tự động phân tích binary để phát hiện obfuscated code, control-flow flattening và state machine. Dự án do mcdulltii phát triển, dựa trên các nghiên cứu về tự động hóa quá trình nhận diện và phân tích CFG.

✨ Điểm nổi bật

• Phát hiện bằng heuristic: Chấm mức độ phức tạp cho từng hàm để lọc ra vị trí đáng kiểm tra.
• Phân tích linh hoạt: Chạy trên một hàm theo số hoặc địa chỉ, hoặc toàn bộ hàm trong binary.
• Xếp hạng kết quả: Chế độ All Functions sắp xếp kết quả từ trên xuống theo heuristic complexity.
• Lọc theo số node: Cho phép bỏ qua các hàm vượt giới hạn node size đã chọn.
• Giao diện PyQt5: Hiển thị kết quả và cho phép tùy chỉnh quá trình phân tích trên binary.
• Đổi tên hàm: Đặt lại tên hàm ngay trong bảng kết quả; tên mới cũng được cập nhật theo địa chỉ tương ứng trong IDA.
• Xuất CSV: Chọn vị trí lưu và xuất bảng phân tích sang định dạng CSV.
• Hỗ trợ threading: Giảm thời gian chờ trong quá trình phân tích, dù việc dựng dominator tree vẫn tốn tài nguyên.

💡 Vì sao đáng chú ý

Dự án đưa heuristic phát hiện CFG phức tạp vào một workflow trực quan ngay trong IDA, giúp analyst rà soát các hàm nghi ngờ bị obfuscation mà không phải tự lần theo từng cấu trúc điều khiển. Kết quả được xếp hạng, lọc theo node size, hỗ trợ đổi tên hàm và xuất CSV, phù hợp cho các lần phân tích binary cần tập trung nhanh vào những khu vực phức tạp.

Cách cài đặt cũng gọn: sao chép thư mục obfDetect cùng tệp obfDetect.py vào thư mục Plugins của IDA, sau đó chạy từ thanh File hoặc nhấn Ctrl-Shift-H.

#ReverseEngineering #IDA #ObfuscationDetection #Python #TiniX