Hash de importaciones y sus trampas

Un ejecutable de Windows declara qué funciones de qué bibliotecas del sistema va a usar: es su tabla de importaciones. El hash de importaciones (en muchas herramientas aparece como imphash) toma esa lista, la escribe como biblioteca.función en minúsculas y sin la extensión de la biblioteca, en el mismo orden en que aparece en el archivo, y calcula un MD5 del resultado.

Dos muestras con el mismo hash pidieron las mismas funciones en el mismo orden. Eso suele pasar cuando salen del mismo código compilado de la misma manera, y por eso sirve para buscar parientes aunque los bytes hayan cambiado. Pero el hash no sabe nada del código propio: solo de la lista.

Abre el laboratorio y ejecuta SELECT * FROM importaciones_resumen, SELECT * FROM importaciones_eca12 y SELECT * FROM hash_en_la_flota.

Un programa .NET no llama directamente a las bibliotecas del sistema: deja ese trabajo al entorno de ejecución, y su tabla de importaciones suele tener una única entrada. Todos los ejecutables .NET de ese tipo comparten, por tanto, el mismo hash de importaciones, sean maliciosos o no. Antes de usar un hash para unir dos muestras hay que mirar cuántos programas legítimos de la propia flota lo tienen.

Ejecuta SELECT * FROM bloques_eca04_eca11.

ECA-04 y ECA-11 importan exactamente las mismas 57 funciones y, aun así, sus hashes son distintos. Como el hash se calcula sobre la lista en orden, basta con que el compilador o el autor coloquen un bloque de importaciones en otro sitio para que el valor cambie por completo. Un hash distinto no demuestra que dos muestras no sean parientes.

Ejecuta SELECT * FROM importaciones_eca14.

ECA-14 y ECA-15 comparten hash, pero su lista tiene solo seis funciones: cargar una biblioteca, pedir la dirección de una función, reservar y proteger memoria, salir y mostrar un mensaje. Es la tabla típica de un archivo empaquetado, en el que el código real va comprimido o cifrado y se reconstruye al ejecutarse. Esa tabla la pone el empaquetador, no el autor de lo que va dentro, y la tabla de la flota dice que 37 instaladores legítimos tienen la misma.