Entropía de archivos y detección basada en compresión/cifrado

Abre entropia_y_empaquetado.txt en la consola del laboratorio con el entorno rt-loaders-firmas-guia.

La entropía de Shannon cuantifica la incertidumbre o distribución estadística de los bytes en el archivo. El código ensamblador habitual y los textos en lenguaje natural presentan redundancia y patrones predecibles, situándose en rangos moderados.

Revisa el apartado de rangos típicos en entropia_y_empaquetado.txt.

Cuando un analizador estático procesa las secciones de un archivo PE, calcula la entropía de cada una por separado. Si la sección que debería contener instrucciones ejecutables supera un determinado umbral crítico, el motor asume que aloja una carga cifrada diseñada para eludir firmas.

Para evitar que un cargador cifrado dispare alarmas heurísticas automáticas, los desarrolladores de herramientas de Red Team aplican técnicas de mitigación de entropía (Entropy Masking).

Al introducir cadenas extensas de texto natural, diccionarios de palabras legítimas o recursos gráficos benignos dentro del archivo binario, la proporción global de datos aleatorios desciende, devolviendo la firma estadística del artefacto a rangos comunes de aplicaciones corporativas.