Metadatos y ensamblados en la ficha estática

Un ensamblado tiene una identidad —nombre, versión, cultura y, si está firmado con nombre seguro, una clave pública— y una serie de atributos descriptivos: título, empresa, producto, derechos. La identidad la usa el entorno para resolver dependencias; los atributos son texto libre que se rellena en el proyecto y que nadie comprueba.

Por eso que el campo de empresa diga el nombre de la víctima no prueba nada: es justo lo que pondría alguien que quiere pasar por un programa interno. Lo que sí pesa es la comparación con lo que la empresa sabe de su propio software: versión, firma y forma de distribución.

La tabla de referencias enumera los ensamblados de los que depende la muestra. Los que forman parte del entorno no preocupan: están en cualquier equipo con .NET. Lo interesante es una referencia a un ensamblado que no viene con el entorno ni con el adjunto, porque el programa tiene que conseguirlo de alguna otra forma para poder usarlo.

La ficha no dice de dónde va a salir. Solo deja la pregunta escrita, y esa pregunta guía la lectura del código y del informe del entorno aislado en las salas siguientes.

Un ensamblado lleva dos identificadores con forma de GUID que se confunden a menudo. El MVID identifica el módulo y cambia cada vez que se compila, así que no sirve para emparentar dos muestras. El GUID de proyecto, cuando la plantilla del proyecto lo incluye, se genera una sola vez al crear el proyecto y se conserva en todas las compilaciones posteriores mientras nadie lo cambie.

Por eso el segundo es un buen pivote: dos muestras con el mismo GUID de proyecto probablemente salen del mismo proyecto. No prueba que las haya compilado la misma persona —un proyecto se copia— y el autor puede cambiarlo, pero cuando coincide merece una línea en el informe.

Cuando un programa se compila con información de depuración, la cabecera PE guarda la ruta del archivo de símbolos tal como estaba en el equipo de quien compiló. A veces trae el nombre de una carpeta de usuario, el nombre del proyecto o una unidad de disco. Es un dato que el autor olvida limpiar con frecuencia, y que se busca en otras muestras igual que el GUID.

Como todo lo de la cabecera, puede borrarse o falsearse; si aparece, se anota como indicio para pivotar, no como identidad de nadie.