CASCADE: LLM-Powered JavaScript Deobfuscator at Google

Die Arbeit stellt CASCADE vor, ein hybrides Deobfuskierungswerkzeug von Google, das die KI-Fähigkeiten von Gemini mit deterministischen Compiler-Transformationen auf Basis einer JavaScript-IR kombiniert, um JavaScript-Code effektiv zu entschlüsseln und dabei die Zuverlässigkeit und Effizienz im Vergleich zu herkömmlichen regelbasierten Ansätzen erheblich zu steigern.

Das Wesentliche

Stellen Sie sich vor, Sie finden einen alten, verschlüsselten Schatzkoffer. Aber nicht nur der Koffer ist verschlossen – die Schatzkarte selbst ist in eine wirre, unleserliche Kryptographie verwandelt worden. Buchstaben sind durch Zahlen ersetzt, Sätze sind durcheinandergewürfelt, und die Anweisungen lauten: „Geh zur 438. Tür, aber nur, wenn der Himmel grün ist und die Zahl 7 durch 3 teilbar ist."

Das ist genau das Problem, mit dem sich Sicherheitsforscher bei JavaScript (der Programmiersprache des Internets) konfrontiert sehen. Hacker und Malware-Entwickler nutzen Werkzeuge wie Obfuscator.IO, um ihren bösartigen Code so zu verschleiern, dass er für Menschen und Computer kaum noch zu verstehen ist.

Die Forscher von Google haben eine Lösung namens CASCADE entwickelt. Hier ist eine einfache Erklärung, wie das funktioniert, mit ein paar kreativen Vergleichen:

1. Das Problem: Der verwirrte Koch

Stellen Sie sich einen Koch vor, der ein Rezept für einen Kuchen geschrieben hat. Aber statt „2 Eier" schreibt er „Nimm das dritte Element aus der Liste, die ich gerade in den Mixer geworfen habe, und addiere 5 dazu".

• Der Code: Ist das eigentliche Rezept.
• Die Verschleierung (Obfuscation): Ist das Durcheinander im Mixer.
• Das Ziel: Den Kuchen (die ursprüngliche Absicht des Codes) wiederherzustellen, ohne dass er verbrannt wird.

Bisherige Methoden waren wie ein Koch, der stur nach einem festen Regelbuch sucht: „Wenn du '2 Eier' siehst, ersetze es durch '2 Eier'." Aber wenn der Hacker nur ein Komma ändert oder ein Wort anders schreibt, funktioniert das Regelbuch nicht mehr. Das ist wie ein Schloss, das nur mit einem ganz bestimmten Schlüssel funktioniert – ändert der Hacker den Schlüssel ein winziges Stück, klappt es nicht mehr.

2. Die Lösung: Das Team aus Detektiv und Ingenieur

CASCADE ist ein Hybrid-System. Es kombiniert zwei sehr unterschiedliche Talente, die zusammenarbeiten wie ein genialer Detektiv und ein präziser Ingenieur.

Der Detektiv: Gemini (Die KI)

Stellen Sie sich Gemini (eine künstliche Intelligenz von Google) als einen sehr klugen Detektiv vor, der Millionen von Rezepten gelesen hat.

• Seine Aufgabe: Er schaut sich den verwirrten Code an und sagt: „Aha! Hier drüben versteckt sich der 'Koch', der die Zutatenliste (die verschlüsselten Wörter) verwaltet. Und dort ist der 'Mixer', der die Zahlen durcheinanderwirbelt."
• Der Vorteil: Früher mussten Menschen stundenlang manuell Regeln schreiben, um diese Muster zu erkennen. Gemini erkennt sie fast automatisch, selbst wenn der Hacker kleine Änderungen vornimmt. Er ist flexibel wie ein Mensch, der ein neues Versteck erkennt, auch wenn die Tarnung leicht anders aussieht.

Der Ingenieur: JSIR (Der Compiler)

Sobald der Detektiv die wichtigen Teile gefunden hat, übergibt er sie an den Ingenieur (einen Compiler-Teil namens JSIR).

• Seine Aufgabe: Der Ingenieur ist extrem präzise und macht keine Fehler. Er nimmt die Anweisungen des Detektivs und führt die mathematischen Berechnungen durch. Er sagt: „Okay, wenn wir die Zahl 438 in die Funktion stecken, kommt genau das Wort 'Hallo' heraus."
• Warum das wichtig ist: KIs (wie Gemini) sind großartig im Verstehen, aber sie machen manchmal kleine Rechenfehler (Halluzinationen). Wenn ein Ingenieur einen Fehler macht, ist das Rezept kaputt. Der Ingenieur garantiert, dass das Ergebnis mathematisch korrekt ist.

3. Wie CASCADE arbeitet (Schritt für Schritt)

1. Der Scan: CASCADE scannt den verschlüsselten Code.
2. Die Entdeckung: Die KI (Gemini) sucht nach den „Prelude-Funktionen". Das sind wie die Schlüssel-Sätze im Code, die die verschlüsselte Liste der Wörter verwalten. Sie erkennt: „Das hier ist die Liste der echten Wörter, und das hier ist die Funktion, die sie wiederherstellt."
3. Der Test: Anstatt den KI zu trauen, den Code selbst zu entschlüsseln, führt das System diese Schlüssel-Funktionen in einer sicheren Umgebung (einem „Sandbox") aus. Es ist, als würde man den Mixer kurz anstellen, um zu sehen, was wirklich herauskommt.
4. Die Reparatur: Sobald das System weiß, dass „Funktion X mit Zahl Y" das Wort „Zug" bedeutet, nutzt der Ingenieur (JSIR), um den gesamten Code umzuschreiben. Er ersetzt die komplizierte Mathematik einfach durch das echte Wort „Zug".
5. Das Ergebnis: Am Ende haben Sie einen Code, der genau so funktioniert wie der ursprüngliche, aber für Menschen wieder lesbar ist.

Warum ist das so wichtig?

• Keine starren Regeln mehr: Früher mussten Sicherheitsfirmen für jede neue Art von Verschlüsselung neue manuelle Regeln schreiben (wie tausende von kleinen Schlüsseln). CASCADE lernt die Muster selbst und braucht keine tausenden Regeln mehr.
• Geschwindigkeit: Es kann Tausende von Dateien pro Sekunde entschlüsseln.
• Sicherheit: Da die KI nur die Muster findet und der Computer die harte Rechenarbeit macht, gibt es keine gefährlichen Fehler. Der Code ist danach garantiert sicher und korrekt.

Zusammenfassung in einem Satz

CASCADE ist wie ein Team, bei dem ein genialer Detektiv (KI) die versteckten Hinweise in einem verschlüsselten Brief findet und ein präziser Ingenieur (Compiler) diese Hinweise nutzt, um den Brief in eine klare, lesbare Sprache zu übersetzen, ohne dabei auch nur ein einziges Wort falsch zu verstehen.

Dieses System wird bereits bei Google eingesetzt, um Millionen von Webseiten auf bösartige Software zu prüfen und die Sicherheit im Internet zu erhöhen.

Technische Zusammenfassung

1. Problemstellung

JavaScript ist die dominierende Programmiersprache für die Webentwicklung, wird jedoch häufig von Angreifern genutzt, um Malware zu verschleiern (Obfuskation). Diese Techniken transformieren lesbaren Code in komplexe, schwer verständliche Varianten, was die Softwaretests, statische Analysen und die Malware-Erkennung erheblich behindert.

Besonders problematisch ist die String-Obfuskation (Verschleierung von Zeichenketten und API-Namen), wie sie beispielsweise vom weit verbreiteten Tool Obfuscator.IO eingesetzt wird. Herkömmliche Deobfuskatoren stoßen hier an Grenzen:

• Statische Analyse: Regelbasierte Ansätze (z. B. Webcrack) nutzen starre AST-Muster (Abstract Syntax Tree) oder Regex. Diese sind extrem fragil; schon kleine Änderungen im Code (z. B. while(true) zu while(!![])) führen zum Scheitern.
• Dynamische Analyse: Erfordert spezifische Laufzeitumgebungen und hat hohe Performance-Overheads sowie Sicherheitsrisiken.
• Reine LLM-Ansätze: Große Sprachmodelle (LLMs) verstehen Code gut, neigen jedoch zu „Halluzinationen" und Fehlern bei präziser logischer oder mathematischer Berechnung. Ein kleiner Rechenfehler kann die Semantik des Programms fundamental verändern.

2. Methodik: Der CASCADE-Ansatz

CASCADE (Combined Analysis of Scripts with a Context-Aware Deobfuscation Engine) ist ein hybrides System, das die Stärken von LLMs (Gemini) mit deterministischen Compiler-Transformationen (JSIR) kombiniert. Das Ziel ist die Wiederherstellung der Original-Strings und API-Namen bei Erhalt der semantischen Äquivalenz.

Der Prozess läuft in drei Hauptphasen ab:

A. Erkennung von „Prelude Functions" durch LLM

Obfuscator.IO generiert String-Obfuskation durch drei spezifische, template-basierte Funktionen (Prelude Functions):

1. Eine Funktion, die ein globales String-Array definiert.
2. Eine Funktion, die Strings aus diesem Array unter Verwendung von verschobenen Indizes abruft.
3. Eine Funktion (IIFE), die das Array rotiert, bis eine komplexe arithmetische Bedingung erfüllt ist.

Anstatt diese Muster manuell zu codieren, nutzt CASCADE Gemini, um diese Prelude Functions in obfuskiertem Code zu identifizieren.

• Prompt-Engineering: Es wird ein Few-Shot-Learning-Ansatz verwendet, bei dem dem LLM Beispiele der Templates und klare Anweisungen zur Ausgabe in JSON-Format gegeben werden.
• Vorteil: Das LLM erkennt die semantische Struktur auch bei kleinen syntaktischen Änderungen, bei denen regelbasierte Tools versagen würden. Die Erkennungsrate liegt bei 99,56 %.

B. Dynamische Ausführung im Sandkasten

Sobald die Prelude Functions identifiziert sind, werden sie aus dem obfuskierten Code extrahiert und in einer sicheren JavaScript-Laufzeitumgebung (z. B. V8 oder QuickJS) ausgeführt.

• Da diese Funktionen (trotz scheinbarer Seiteneffekte durch Rotation) rein funktional und idempotent sind, liefert ihre Ausführung die korrekten String-Werte.
• Dies umgeht die Notwendigkeit, die komplexe Rotationslogik rein statisch zu lösen.

C. Transformation mittels JSIR (Compiler IR)

Die erkannten Prelude Functions werden als „reine" (side-effect-free) Funktionen behandelt. CASCADE nutzt JSIR (eine JavaScript-Intermediate Representation auf Basis von MLIR), um folgende Transformationen durchzuführen:

• Erweiterte Konstantenpropagierung: Die dynamisch ermittelten String-Werte werden als Konstanten in den Code eingefügt.
• Inlining von Indirektionen: Das System löst Variablen-Aliase, Wrapper-Funktionen und Objekt-Wrapper auf, die Obfuscator.IO zur Verschleierung nutzt.
• Ergebnis: Der obfuskierte Code wird in eine lesbare Form zurücktransformiert, wobei die Original-Strings und API-Namen wiederhergestellt werden.

3. Schlüsselbeiträge

1. Neuartige Architektur: CASCADE ist das erste Framework, das ein LLM mit compiler-basierten IR-Transformationen koppelt, um probabilistisches Verständnis mit deterministischen Rewrites zu verbinden.
2. Industrielle Skalierbarkeit: Das System ist bereits in der Produktionsumgebung von Google im Einsatz. Es eliminiert die Notwendigkeit von hunderten bis tausenden Zeilen manueller, harter Regeln (wie in Webcrack oder Deobfuscator.IO).
3. Robustheit: Durch den Einsatz von LLMs für die Mustererkennung ist das System resilient gegenüber kleinen Änderungen im Obfuskationscode, die regelbasierte Systeme brechen würden.
4. Verantwortungsvolle KI-Nutzung: Das System nutzt das LLM nicht zur direkten Generierung des deobfuskierenden Codes (was zu Halluzinationen führen würde), sondern nur zur Identifikation von Mustern. Die eigentliche Transformation erfolgt deterministisch durch den Compiler.

4. Ergebnisse und Evaluation

Das Team evaluierte CASCADE an einem Datensatz von ca. 11.740 obfuskierten Dateien (generiert mit Obfuscator.IO in verschiedenen Konfigurationen: Default, Low, Medium, High).

• Prelude-Erkennung (RQ1): Gemini erkannte die Prelude Functions mit einer Trefferquote von 99,56 % (bei erfolgreichen Antworten). Die Erkennung war über alle Schwierigkeitsgrade hinweg sehr stabil.
• String-Wiederherstellung (RQ2):
  • Erfolgsrate: 98,93 % der Dateien wurden erfolgreich deobfuskatiert.
  • Wiederhergestellte Literale: Im Durchschnitt wurden 945 Strings pro Datei wiederhergestellt.
  • Performance: Die durchschnittliche Verarbeitungszeit betrug 2,3 Sekunden pro Datei (bei komplexen „High"-Konfigurationen bis zu 5,2 Sekunden).
• Vergleich: Im Gegensatz zu reinen LLM-Ansätzen oder reinen AST-basierten Tools bietet CASCADE eine hohe Zuverlässigkeit und verhindert semantische Fehler.

5. Bedeutung und Ausblick

CASCADE stellt einen Paradigmenwechsel in der Software-Sicherheit dar. Es demonstriert, wie LLMs effektiv in kritische Sicherheitsworkflows integriert werden können, ohne die Zuverlässigkeit zu opfern, indem sie als „Intelligenz-Schicht" für die Mustererkennung dienen, während deterministische Compiler-Techniken die Korrektheit garantieren.

• Praktischer Nutzen: Die Technologie reduziert den manuellen Aufwand bei der Malware-Analyse bei Google erheblich und verbessert die Erkennungsrate von bösartigem JavaScript.
• Zukunft: Die Autoren planen, CASCADE zu einem autonomen Agenten weiterzuentwickeln, der selbst entscheidet, welche Transformationen anzuwenden sind, und die Unterstützung auf andere Obfuskationstechniken (z. B. Control-Flow-Flattening) und andere Obfuscator-Tools auszuweiten.
• Open Source: Die Infrastruktur (JSIR) und Prompt-Vorlagen werden für die Community verfügbar gemacht, um Reproduzierbarkeit und Weiterentwicklung zu fördern.

Zusammenfassend bietet CASCADE eine robuste, skalierbare und korrekte Lösung für eines der schwierigsten Probleme in der JavaScript-Sicherheit: die Entschlüsselung hochgradig verschleierten Codes.