Malware Sandbox & Desofuscador

Resumo técnico

Detonação estéril de snippets PHP, JS e Python com desofuscação recursiva em memória (até 10 camadas). Entropia de Shannon (0–8.0), extrator de IOCs (IPs, URLs, funções perigosas), análise heurística com score de risco e classificação de famílias (WSO, c99, r57, b374k, Weevely). MITRE ATT&CK mapping (T1027.002, T1059, T1105). Triagem com IA (OpenRouter/Gemini/OpenAI). Intel Hub enricher (prioridade 45). UI rose 4 abas com i18n.

Escopo executado

• plugin.php (53 linhas): aba "Malware Sandbox" em "Segurança & OSINT" com ícone shield, doc, enricher Intel Hub (tipo hash/md5/sha256, prioridade 45), 7 ações de API (msandbox_detonate, msandbox_history, msandbox_get, msandbox_delete, msandbox_iocs, msandbox_config_get, msandbox_config_save).
• backend.php (607 linhas): instalação lazy de nx_malware_detonations e nx_malware_config, cálculo de entropia de Shannon, desofuscador PHP recursivo (6 métodos: eval+gzinflate+base64, eval+base64, eval+rot13+base64, chr() sequences, hex strings, concatenações), extrator de IOCs (IPs, URLs, funções perigosas, caminhos), análise heurística com detecção de assinaturas de webshell, mapeamento MITRE ATT&CK, triagem com IA via nx_ai_query(), CRUD de detonações, listagem agregada de IOCs, enricher Intel Hub.
• tab.php (561 linhas): Alpine.js 4 abas (Detonador & Desofuscador, Histórico, IOCs Extraídos, Configurações), tema rose, editor de código com drag-and-drop de arquivos, relatório com veredito/score/entropia, IOCs badges, MITRE ATT&CK tags, comparação side-by-side original vs desofuscado, configuração de provedor de IA e limites de memória, i18n via t().
• lang.json (256 linhas): traduções PT/EN para todas as chaves da interface.
• fastr.json: 2 comandos — /detonate <code>, /sandbox-history.
• doc.md (38 linhas): documentação técnica do autor (PT).
• icon.svg: ícone shield.