Archivos JAR y clases en el informe

Un JAR es un archivo ZIP —por eso empieza con «PK»— que guarda clases de Java compiladas (.class), recursos y una carpeta META-INF. Dentro de ella, MANIFEST.MF describe el paquete, y su atributo Main-Class nombra la clase cuyo método main se ejecuta cuando se lanza el archivo. Esa es la puerta de entrada y por ahí se empieza a leer, igual que con Main en .NET.

Cada archivo .class empieza con la marca CA FE BA BE y declara una versión de formato que indica para qué versión de Java se compiló. No dice nada de quién lo hizo, pero sí si encaja con lo que el programa dice ser.

Abre el laboratorio y lee el listado y el manifiesto. El listado dice qué hay dentro; el manifiesto dice por dónde se entra.

cat listado.txt
cat MANIFEST.MF

En la clase de entrada hay líneas que el analista omitió porque arman una descarga, pero lo que queda basta para entender el plan: el programa lee su configuración, prepara un cargador de clases que trae código desde la red y le pide una clase por su nombre. Es el equivalente en Java de lo que se vio con el ensamblado cargado en memoria: el código importante no viaja en el adjunto.

El nombre de esa clase no está en el decompilado como texto: se lee de un archivo de configuración incluido en el JAR.

cat decompilado/Lanzador.java
cat config.properties

Un JAR firmado lleva en META-INF, además del manifiesto, un archivo de firma (.SF) y un bloque de firma cuya extensión depende del algoritmo (.RSA, .DSA o .EC). Si no están, el archivo no está firmado. Que esté firmado tampoco lo absuelve —una firma dice quién lo firmó, no que sea inocuo—, pero que no lo esté, siendo supuestamente una herramienta de la empresa, es un dato para el informe.

La clase remota no está en el material. No se descargó y no se debe descargar desde la estación de trabajo para «ver qué hace»: eso es interactuar con la infraestructura de quien envió la muestra. Lo que se sabe se escribe como lo que es: un cargador que pide código a un dominio externo y una ventana de etiquetas que sirve de fachada.