Entropía y secciones como indicio de empaquetado

La entropía de un bloque de bytes mide cuán impredecible parece, en una escala de 0 a 8. El texto y el código normal repiten patrones y salen bajos o medios; los datos comprimidos o cifrados no repiten nada y salen cerca de 8.

Eso es todo lo que dice: que el contenido parece comprimido o cifrado. No dice con qué ni por qué. Un instalador legítimo lleva sus archivos comprimidos y da entropía alta en la sección de datos; un programa empaquetado también. Por eso la entropía es una señal para mirar con otras, no un veredicto.

La cabecera dice en qué sección está el punto de entrada, el sitio donde el sistema empieza a ejecutar. En un programa normal está en la sección de código (.text). En uno empaquetado suele estar en una sección propia del empaquetador, porque lo primero que corre es el código que desempaqueta el resto.

Un punto de entrada fuera de la sección de código no prueba nada por sí solo —algunos programas de proveedor comprimidos con herramientas conocidas lo tienen—, pero junto a otras señales pesa mucho.

Cada sección tiene dos tamaños: el que ocupa en disco y el que reserva en memoria. En un programa normal se parecen. Una sección que no ocupa nada en disco y reserva mucha memoria es un espacio vacío que el programa llena mientras corre: es el hueco donde el programa ya desempaquetado se escribe. Esa diferencia es una de las señales más claras, porque un programa normal no necesita reservar un espacio que su propio archivo no llena.

Los permisos de una sección dicen qué puede hacerse con ella. El código se ejecuta, los datos se escriben, y rara vez una sección hace ambas cosas: un programa que escribe en una sección y luego la ejecuta está generando código en ejecución, que es lo que hace un desempaquetador. Por eso «escribir y ejecutar a la vez» pesa tanto en la tabla de permisos. Cuenta las secciones de M-0618 con ambos permisos, no las que solo tienen uno.

Con la tabla de M-0618 y los tres grupos de programas de la empresa, la conclusión no sale de una señal sino de su combinación: punto de entrada en una sección propia, sección vacía en disco, permisos de escribir y ejecutar, entropía alta en la sección del punto de entrada, y además sin firma ni información de versión. Los instaladores de la empresa tienen entropía alta pero entrada en .text y firma; los programas comprimidos por su proveedor tienen entrada en su sección, pero están firmados y en el catálogo.