other: 未知的obfuscator派系混淆

[xiaodan01]

other: 未知的obfuscator派系混淆

[echo094]

https://note.ms/bgkq

我可以确定：

1. 这不是原版obfuscator
2. 用同样的方法经过了10层左右的嵌套混淆

不确定的是这种特征是否具有普遍性（或者说这个工具是否被公开使用）。

其实你稍微改一下现有的obfuscator插件就能够适配了。

[xiaodan01]

还请大佬指点迷津

[echo094]

这个例子的改进还是有点东西的：

1. 有几个string-array相关的变量名在全局不唯一，导致现有的插件在处理时出现异常（这个目前可以通过在开始阶段将变量重命名解决）。我现在也在思考更普适的解决方案（通过这个样本，我想到了几种新的混淆套路，能够大大增加还原的难度）。
2. 修改了string-array相关函数的特征（针对其特征修改匹配方法即可）。但由于缺少混淆工具的信息，并不能知道其更新频率，因此现阶段不适合更新到obfuscator插件中。

[xiaodan01]

这样啊，大佬能不能简单的修改一下单独一个版本，我这边有部分这种类型的，不太方便发出来😂

…

------------------ 原始邮件 ------------------ 发件人: echo094 ***@***.***> 发送时间: 2024年2月25日 00:21 收件人: echo094/decode-js ***@***.***> 抄送: xiaodan01 ***@***.***>, Author ***@***.***> 主题: Re: [echo094/decode-js] other: 未知的obfuscator派系混淆 (Issue #74) 这个例子的改进还是有点东西的： 有几个string-array相关的变量名在全局不唯一，导致现有的插件在处理时出现异常（这个目前可以通过在开始阶段将变量重命名解决）。我现在也在思考更普适的解决方案（通过这个样本，我想到了几种新的混淆套路，能够大大增加还原的难度）。 修改了string-array相关函数的特征（针对其特征修改匹配方法即可）。但由于缺少混淆工具的信息，并不能知道其更新频率，因此现阶段不适合更新到obfuscator插件中。 — Reply to this email directly, view it on GitHub, or unsubscribe. You are receiving this because you authored the thread.Message ID: ***@***.***>

[echo094]

那你先试试 obfuscator_variant 分支吧

[xiaodan01]

好的，感谢大佬 发自我的iPhone

…

------------------ 原始邮件 ------------------ 发件人: echo094 ***@***.***> 发送时间: 2024年2月25日 00:29 收件人: echo094/decode-js ***@***.***> 抄送: xiaodan01 ***@***.***>, Author ***@***.***> 主题: Re: [echo094/decode-js] other: 未知的obfuscator派系混淆 (Issue #74) 那你先试试 obfuscator_variant 分支吧 — Reply to this email directly, view it on GitHub, or unsubscribe. You are receiving this because you authored the thread.Message ID: ***@***.***>

[xiaodan01]

那你先试试 obfuscator_variant 分支吧

可以，这次数也太多了，反复解，目前可以用，感谢大佬深夜付出