Recursos, cadenas y entropía

Los recursos de un ejecutable de Windows están en su propia sección y se organizan por tipo: iconos, manifiesto (la declaración de requisitos), información de versión y bloques de datos genéricos. Cada uno se puede medir con la misma escala de entropía de la sala 1. Aquí hay una trampa de lectura: los iconos en formato PNG ya vienen comprimidos y puntúan alto, así que «entropía alta» no basta. La pregunta correcta es: ¿es lo esperable para este tipo de recurso? Una imagen comprimida, sí. Un bloque de datos genérico de decenas de kilobytes, sin nombre que lo explique, con entropía casi máxima, no.

Esa diferencia se llama contexto, y es lo que separa una alerta de un hallazgo.

Abre recursos.txt. Hay cuatro recursos y dos de ellos tienen entropía alta: el icono, que lo explica su formato, y otro que no tiene esa justificación. Un bloque de datos opaco dentro de un programa puede ser legítimo (un archivo de licencia cifrado, datos comprimidos de un instalador) o ser contenido que el programa extraerá al correr. Desde la lectura estática no se decide; se anota su nombre, su tamaño y su entropía para que quien siga con el análisis lo localice.

La información de versión es un recurso de texto con campos como empresa, descripción, versión y nombre original del archivo. Es la forma que tiene el programa de decir «así me llamo de verdad». Si el nombre original no coincide con el nombre con el que llegó, hay un cambio de nombre en el camino. No siempre es malicioso (la gente renombra archivos), pero un adjunto que llega llamado «informe» y se declara actualizador es una incoherencia que se registra.

Del mismo modo, el campo de la empresa declara una autoría que nadie ha verificado: se compara con la firma digital (si existe) y con los proveedores de la lista de la empresa.

Una herramienta de cadenas recorre el archivo y extrae las secuencias que parecen texto, con su posición y su codificación. Es una de las lecturas más baratas: da nombres de archivo, mensajes de error, agentes de usuario y, a veces, direcciones. Cada cadena es un hecho del archivo y no un hecho del mundo: que contenga una dirección web significa que la dirección está escrita ahí; no que el programa se conecte a ella, ni que esté activa.

La comparación útil es con lo que la empresa usa a propósito. Un dominio que no figura en esa lista se anota como candidato a indicador, con su posición en el archivo.

Sumando lo leído: un nombre de archivo que no coincide con el declarado, una empresa ajena a la lista, un bloque de datos opaco y una dirección web escrita en las cadenas. Cada pieza, sola, tiene explicaciones inocentes. Juntas hacen una hipótesis razonable, siempre que el informe distinga lo observado de lo inferido y de lo que queda por comprobar.