CyberChef

Base64 dentro de um gzip dentro de um hexdump: o CyberChef foi feito para desatar esse tipo de nó. É um aplicativo web em que você arrasta operações para uma receita e vê o resultado na hora. Foi desenvolvido no GCHQ, a agência de inteligência e segurança do Reino Unido, por um analista no tempo reservado a projetos de inovação.

Para que serve

• Decodificar dados aninhados com a operação Magic, que tenta reconhecer as codificações sozinha.
• Calcular hashes e testar cifras e compressão em amostras de dados.
• Converter e analisar formatos como hexdump, endereços IPv6 e certificados X.509.
• Salvar uma receita ou compartilhar pela URL para um colega repetir a mesma análise.
• Rodar uma cópia numa rede isolada para tratar material que não pode sair do ambiente.

Como começar

A versão hospedada abre direto no endereço oficial, no GitHub Pages. Para uso offline, o link no canto superior esquerdo baixa um zip com o app inteiro. Essa cópia não se atualiza sozinha, então baixe as versões novas de tempos em tempos. Há também imagem Docker pronta:

docker run -it -p 8080:8080 ghcr.io/gchq/cyberchef:latest

Depois abra http://localhost:8080. O README lista Chrome 50 ou mais novo e Firefox 38 ou mais novo.

Licença e custo

O código é Apache 2.0, com Crown Copyright, e pode ir até para projeto fechado se você preservar os avisos. Nada nas páginas do projeto fala em plano pago. Segundo a página oficial, entradas e receitas são processadas no navegador e não vão para servidor nenhum. As exceções são três operações que acessam a rede: Show on map, DNS over HTTPS e HTTP request.

Quando vale a pena

No SOC, no treino para CTF ou no código que lida com dados codificados, o CyberChef é ferramenta de uso diário. Quem quer entender os conceitos por trás das operações pode começar pelo post o que é criptografia. Para desmontar executáveis, o caminho é o Ghidra. Em arquivos e capturas de terceiros, analise só o que você tem autorização para examinar.