obfuskator/info/evo-nobackend.md

Вырезка бэкенда, авторизации и телеметрии (2026-10-02)

Локальный патч их клиента (mod/evovis-dec.jar) по решению владельца: без их сервера, без их аккаунта, без отправки данных. Ничего из этого не трогает LoVisual.

Артефакт

Файл	Размер	Что это
mod/evovis-dec-nobackend.jar	47 481 810 B, sha256 8c1f262687c056b2…	evovis-dec.jar +3 перепакованных класса

Исходники патча: patch/src/ (копии из mod/jar-src/sources/defpackage/), смоук: patch/smoke/.

Метод

Их классы лежат в корне джара (default package; jadx называет его defpackage). Классы v69 = Java 25 → компилировали /usr/lib/jvm/java-25-openjdk/bin/javac против evovis-dec.jar + ~/.gradle/caches/fabric-loom/26.2/minecraft-merged.jar (mojmap) + gson, затем jar uf в корень копии джара.

Важные артефакты jadx, которые пришлось учесть:

• jadx переименовал их класс if → Cif (keyword): класс Cif.class в джаре не существует, поэтому весь мёртвый код с ссылками на Cif вырезан, а не пересобран.
• ?? r1; (недообфусцированный фрагмент) и throw th; вне catch — в вырезанных методах.
• Обфускация setDaemon((A^B)+((A&B)<<1)) — это int-эквивалент true (A+B=1), javac не берёт.

Что заменено

cp = Avatar2 (аккаунт)

• initialize() → setUser(new cr("Player", null, "user", 0, null)): нет POST /api/auth/me, нет чтения EVO_TOKEN, нет лаунчер-сессии, нет refreshMe (HTTP). Профиль — локальный dummy.
• isAuthorized() → return true — открываются все их шлюзы (Panel, Camera2, First, Friends, Crosshair2, KeyAssembler, SessionHeartbeat).
• user() → lazy-dummy: если профиль не задан, создаёт тот же dummy. token == null — принципиально: KeyAssembler.token() и SessionHeartbeat.token() возвращают null → AttestClient4 (evovis-protect.vercel.app: challenge/attest/heartbeat) недостижим, поток сборки Shamir-ключа крутится вхолостую (sleep 500 мс).
• Удалён приватный refreshMe() (единственный источник HTTP на auth/me).

akj = Report (телеметрия)

• submit(String) → no-op (единственный внешний вызов — dn/Message2, их команда отчёта).
• Удалены feedback, buildBody, run (достигались только из submit).

alr = SessionHeartbeat (сессия/отключение модулей)

• initialize() → no-op: поток evo-session-heartbeat не стартует → ни ACTIVE/REVOKED каждые 60 с, ни REVOKED×2 → «выключить все модули».
• Удалены приватные run/tick/suspend/restore/reassert/showNotification/manager/token/sleepQuietly.

Почему остальное работает без их сервера

• Обычные строки мода — awc.d(String,int): статический LCG+XOR, ключа не требует.
• SecureStrings (5 API-блобов: probe/friends/messages/cosmetic_sync/config_share) — KeyAssembler.key() всегда null → get() возвращает null → их серверные фичи (синк друзей, сообщения, косметика, конфиги) выключаются сами, без крашей на старте (null проверяется в самом SecureStrings.get).
• KeyAssembler/SealedBoot/RuntimeGuard/JNI NativeGuard — живут только после сборки ключа, то есть недостижимы при token == null.

Оставлено (осознанно)

Что	Почему
Ticket (тикеты поддержки)	только по явному клику пользователя, с token==null отправлять нечего
Evovisuals2 (аватарки head/*.png, mc-heads)	косметика, грейсфейл, неактивно без друзей/аккаунта
Route (зеркала delivery*.evoproject.xyz)	бесполезен: запросов к их хостам больше нет
Сторонние API (lrclib, mc-heads, yt-dlp, whisper)	их бэкенд, не трогаем

Проверки

• javap -c: cp.isAuthorized → iconst_1/ireturn; cp.initialize → new cr(…Player…); akj.submit → return; alr.initialize → return.
• Смоук (patch/smoke/Smoke.java, JVM 25, classpath = патченный джар + MC + gson):

isAuthorized = true
user = Player token=null
isSuspended = false
OK: auth=local, report=no-op, heartbeat=off

Ограничение

В игре не прогоняли: здесь Linux, а их evojdk только win-x64. Запускать патченный джар — на Windows (их лаунчер или свой fabric-лодер); при проблемах — смотреть лог на загрузке модулей. Ожидаемо «пустым» (серверное) останется: список друзей, сообщения, косметика синк, аватарки, тикеты.