Leer el informe de un binario ELF

Un análisis estático examina el archivo sin ponerlo a trabajar. Su informe tiene cuatro partes que casi siempre se leen en este orden: la cabecera (qué clase de archivo es y para qué arquitectura), las secciones (cómo está organizado por dentro y qué tan «apretados» están sus datos), las importaciones (qué funciones pide al sistema) y las cadenas de texto que lleva escritas.

La entropía mide qué tan desordenados están los bytes de una sección, de 0 a 8. El código normal y el texto quedan en la parte baja o media. Los datos comprimidos o cifrados se acercan al máximo, porque ya no tienen patrones. Un valor alto en una sección de datos, sola, no es una acusación: muchos programas legítimos llevan recursos comprimidos. Es una razón para mirar esa sección con más cuidado.

Abre la consola. El informe de la muestra 0417 trae una tabla con las secciones del binario y su entropía. Consúltala y busca la que está por encima de 7.

Un binario no trae dentro todo lo que necesita: pide funciones a bibliotecas del sistema, y esa lista de importaciones es una de las partes más informativas del informe. Si un programa importa funciones de red, puede conectarse; si importa las que crean procesos, puede lanzar otros. Es una lista de capacidades posibles. Que una función esté importada no demuestra que el programa la use, ni para qué.

Además de la biblioteca estándar, que casi todo programa enlaza, mira si hay alguna más que explique algo del comportamiento: resolver nombres de dominio, por ejemplo, apunta a que el programa puede hablar con destinos escritos como nombres y no solo como números.

Las cadenas imprimibles de un binario son la fuente más barata de indicadores: direcciones de red, rutas de archivos, nombres de tareas, textos de error. Cada una es un candidato, y se anota con su procedencia: «cadena del binario, offset tal». Un indicador sin procedencia no sirve a quien tiene que buscarlo después en los registros del resto de la red.

Con la cabecera, las secciones, las importaciones y las cadenas, un analista puede escribir hallazgos. La disciplina es afirmar solo lo que cada parte respalda: «el binario contiene una sección con entropía alta», «importa funciones de red», «lleva escrita una dirección». Lo que no puede escribir, con solo esto, es lo que el programa hizo en el servidor: para eso hay que mirar sus procesos, sus conexiones y la línea de tiempo del equipo.