JEB Pro

PNF Software, installée dans la Silicon Valley, a été fondée en 2013 par Nicolas Falliere. Chercheur chez Symantec en 2010 et 2011, il a été le premier à publier la description détaillée de l’attaque de Stuxnet contre les automates Siemens S7.

JEB Pro décompile le bytecode Dalvik des applications Android comme le code machine x86, ARM, MIPS et RISC-V, les modules WebAssembly, les contrats Ethereum, les programmes d’automates S7 et jusqu’au code des noyaux GPU Nvidia (SASS). Il analyse aussi les documents PDF malveillants. Tout se scripte, en Python comme en Java, et l’outil fonctionne sans connexion à Internet.

Il intègre VIBRE, un assistant d’intelligence artificielle qui agit sur le projet ouvert à la demande de l’analyste. Le modèle de langage se choisit, y compris un modèle privé installé dans l’organisation, pour les réseaux isolés.

La rétro-ingénierie d’APK malveillants et l’audit de sécurité

JEB réduit le temps, coûteux, de la rétro-ingénierie : il décompile des APK obfusqués, fait examiner le code Java et débogue des applications propriétaires en quelques minutes. Son moteur modulaire, couplé à une interface de bureau puissante, permet la refactorisation et l’écriture de scripts qui automatisent les tâches complexes.

Il mène l’analyse statique et dynamique de toute application Android, légitime ou malveillante, petite ou grande :

• décompilation du code par le décompilateur Dalvik, APK multi-dex compris ;
• refactorisation de l’analyse, pour déjouer le code obfusqué par les protecteurs d’applications ;
• reconstruction des ressources et des fichiers XML obfusqués ;
• débogage transparent du code Dalvik comme de tout code natif (Intel, ARM) ;
• automatisation des tâches de rétro-ingénierie par des scripts, grâce à l’API.

Déobfuscation et optimiseurs

Le décompilateur restitue avec précision et robustesse les applications Android et le bytecode Dalvik. Ses optimiseurs savent :

• déchiffrer automatiquement les contenus ;
• résoudre les appels d’API par réflexion ;
• nettoyer de nombreux types de code obfusqué.

Les débogueurs Dalvik et natif analysent les applications en temps réel : ils permettent d’examiner le code et d’intercepter les API sensibles.

JEB Pro y ajoute des désobfuscateurs avancés : code « virtualisé » par les protecteurs, émulation du code natif JNI, extraction générique du code que l’application charge à l’exécution, et lecture des instantanés AOT des applications Flutter.

Refactorisation et annotation

Les résultats de l’analyse se refactorisent, s’annotent, se parcourent et se modifient. Les modules d’analyse permettent :

• la refactorisation du code ;
• la création de hiérarchies virtuelles, pour organiser le code fortement obfusqué ;
• le nettoyage du code, par exemple en déchiffrant des contenus obfusqués ou en résolvant le code par réflexion.

API Java et Python

L’API de JEB automatise les tâches de rétro-ingénierie. En Java ou en Python, l’utilisateur écrit scripts et plugins ; les plus avancés créent des modules d’analyse complets et des clients sans interface graphique. Les extensions du décompilateur acceptent des optimiseurs de représentation intermédiaire (IR) personnalisés, pour nettoyer plus encore le code obfusqué.

Les décompilateurs x86 et x86-64 s’attaquent aux programmes et aux logiciels malveillants 32 et 64 bits. Ils offrent :

• un désassemblage enrichi : résolution des sites d’appel dynamiques, valeurs candidates des registres, références croisées dynamiques, etc. ;
• la décompilation du code x86 et x86-64 en pseudo-code C ;
• la reconstitution partielle des classes et la décompilation en C++ des programmes compilés avec Microsoft Visual C++ ;
• des passes d’optimisation avancées contre le code protégé ou obfusqué ;
• des bibliothèques de types Win32 et des signatures courantes, pour une analyse efficace des fichiers Windows ;
• une couche interactive pour la refactorisation : définition de types, construction des cadres de pile, renommage, annotation, références croisées, etc. ;
• une API complète et l’accès aux représentations intermédiaires (IR), pour des analyses de code avancées ou automatisées en Python ou en Java.

Les décompilateurs ARM 32 bits (AArch32, Thumb) et 64 bits (AArch64) servent à analyser les programmes malveillants écrits pour ARM et à auditer les systèmes embarqués complexes, avec :

• un désassemblage enrichi, appels système compris ;
• la décompilation en pseudo-code C ;
• des optimisations qui déjouent le code protégé et nettoient l’obfuscation ;
• la même couche interactive de refactorisation ;
• des bibliothèques de types pour Linux, Android et Windows ;
• une API complète, pour écrire des plugins au niveau de l’IR ou de l’arbre syntaxique et automatiser l’analyse.

Le module PDF de JEB analyse les fichiers Adobe™ PDF malveillants. Il décompose et décode les fichiers pour donner accès à leurs composants internes, ressources et scripts, détecte les corruptions de structure et émet des notifications qui signalent les zones suspectes. Il s’emploie depuis le client de bureau ou depuis un client sans interface graphique, par exemple dans une pile d’analyse de fichiers ou une chaîne d’automatisation.

L’analyseur sert à la rétro-ingénierie manuelle ou automatique de documents de toutes tailles :

• décomposition de la structure du PDF en une arborescence claire et navigable ;
• prise en charge des fichiers corrompus et des flux complexes (encodages multiples, etc.) ;
• plus de 20 notifications et alertes émises par l’analyseur, pour repérer les zones suspectes et se prononcer sur le fichier ;
• extraction du JavaScript embarqué, même dans les cas les plus extrêmes ;
• automatisation par l’API de JEB, pour des analyses en masse.

JEB se licencie à l’année, et chaque licence donne accès à la version la plus récente pendant toute sa durée.