Scripts convertidos en ejecutables: cómo se reconocen

Convertir un script en ejecutable no lo traduce a instrucciones de máquina. Lo que se hace es juntar en un solo archivo un intérprete del lenguaje, las bibliotecas que el script necesita y el propio script, y poner delante un pequeño arrancador que, al abrirse el archivo, prepara todo y le pasa el script al intérprete.

Las herramientas más comunes dejan marcas reconocibles. Un empaquetador de Python como PyInstaller añade al final del ejecutable un archivo con su propio índice, un archivo comprimido con los módulos compilados y la biblioteca de Python, cuyo nombre queda escrito en el ejecutable; en modo de un solo archivo extrae todo al arrancar en una carpeta temporal cuyo nombre empieza por _MEI. El compilador de AutoIt guarda el script convertido, comprimido y cifrado en los recursos del ejecutable. Una aplicación de Node.js convertida en ejecutable único es una copia del motor de Node con la aplicación inyectada en un recurso llamado NODE_SEA_BLOB y una cadena de control que lo marca.

El identificador de tipo compara el archivo contra una lista de marcas, y cuando no encuentra ninguna dice «no concluyente». Eso no significa que el archivo sea raro: significa que hay que leer la ficha.

Abre el laboratorio, lee identificador.txt y después las fichas de las muestras que no quedaron claras.

En un Python empaquetado casi todo el archivo añadido es la biblioteca de Python y los módulos estándar. El script que escribió el autor suele ser una entrada pequeña del índice, marcada como script de entrada, y su nombre no tiene por qué parecerse al del ejecutable. Ese nombre es útil: identifica el proyecto mejor que el nombre del .exe, que cambia con facilidad.

Lee ficha-m7403.txt.

En ficha-m7404.txt está la comparación de las cadenas legibles de M-7404 con las de rotulos.exe, un programa en AutoIt que TI usa desde 2025. El analista de turno había escrito en su borrador que «las cadenas de M-7404 no muestran nada malicioso».