Ejecutables de Windows, cabeceras y secciones

Un archivo PE empieza con las letras «MZ» (la cabecera heredada de DOS), y un campo de esa cabecera apunta al sitio donde está la firma «PE». Después vienen la cabecera de archivo (arquitectura, número de secciones, marca de tiempo), la cabecera opcional (punto de entrada, tamaño de la imagen, subsistema) y la tabla de secciones. Todo eso lo escribe quien compila o quien procesa el archivo después.

Por eso una cabecera declara, no prueba. Que diga «interfaz gráfica» describe cómo se pidió arrancar el programa; no dice qué hará. Que el número de secciones sea cinco es un dato; que cinco sean «demasiadas» solo se sabe comparando con programas parecidos. La lectura útil siempre es comparativa: lo que ves contra lo que trae un programa común del mismo entorno.

La tabla de secciones reparte el archivo en trozos con nombre. Los nombres son una convención del compilador (.text para el código, .data para datos que se escriben, .rdata para datos de solo lectura), no una ley: cualquiera puede ponerles otro. Lo que sí informa son los permisos: lectura (R), escritura (W) y ejecución (X). En un programa común, el código es ejecutable y no se escribe; los datos se escriben y no se ejecutan. Una sección que a la vez se puede escribir y ejecutar es poco habitual y pide una explicación.

También cuenta el tamaño. Cada sección tiene un tamaño en memoria (VirtSize) y otro en el archivo (RawSize). Normalmente se parecen. Cuando una sección ocupa mucho en memoria y nada en el archivo, está reservando espacio vacío que se llenará mientras el programa corre.

Abre secciones.txt y compara con referencia-del-lector.txt.

El punto de entrada es la dirección, dentro de la imagen en memoria, donde el sistema empieza a ejecutar el programa. En un programa común cae dentro de la sección de código. Si cae en una sección distinta, o en una que está vacía en el archivo, la lectura cambia: lo que se ejecute ahí no está en el archivo tal cual, se coloca en memoria mientras corre.

Eso se parece a lo que hacen los programas «empaquetados» o con un cargador, pero también a algún instalador legítimo. La hipótesis defendible es «lo que se ejecuta primero no está visible en el archivo; hay que mirarlo en un entorno aislado y autorizado», no «es malware».

Calcula con cabeceras.txt y secciones.txt en qué rango cae el punto de entrada de M-2201.

La entropía mide, de 0 a 8, qué tan desordenados son los bytes de un trozo del archivo. El texto y el código ordinario puntúan medio (entre 4 y 6,5 aproximadamente); los datos repetitivos, bajo; el contenido comprimido o cifrado se acerca a 8 porque no deja patrones. Una entropía alta no dice «malicioso»: un icono PNG, un instalador o un archivo comprimido también la tienen. Dice «aquí hay contenido que no se puede leer a simple vista», y eso orienta dónde mirar después.

La utilidad práctica es ordenar las secciones por entropía y preguntarse, para la más alta, si es lo que cabría esperar de ella en un programa de ese tipo.