Importaciones, firma y empaquetado

La entropía mide, de 0 a 8, cuán aleatorios son los bytes de un bloque. El texto, el código normal y los datos con estructura dan valores medios y bajos; lo comprimido o cifrado da valores muy altos, porque ya no tiene estructura que se repita. En una tabla de secciones, un bloque con entropía alta y mucho peso dice una cosa: ahí dentro hay algo que no se ve a simple vista.

No es una acusación. Hay programas legítimos comprimidos, y por eso el equipo de Coigue fija una regla práctica (más de 7,0) y la usa como indicio, no como veredicto. Un archivo casi todo en un bloque opaco merece una segunda mirada.

Se lee la tabla de secciones como se lee un cuadro de balance: el tamaño de cada una, qué parte del archivo representa y cuánta entropía tiene. El dato que se pide es concreto: cuál pasa del umbral. Es una consulta de una línea con un filtro, y se anota con el nombre exacto, que va en el informe.

Un programa de Windows declara qué funciones del sistema necesita para trabajar: abrir archivos, dibujar ventanas, hablar por red. Esa lista es la tabla de importaciones. Un programa normal de oficina importa cientos. Uno con muy pocas y, entre ellas, funciones que sirven para pedir otras funciones por su nombre mientras corre, está ocultando cuáles usa de verdad: lo importante no aparece en la tabla.

Es la misma historia que la entropía: no se ve lo que hace, y por eso el resto del triaje importa. Lee la tabla y la columna que explica cada función.

Un ejecutable puede ir firmado: quien lo firmó respondió con su clave por él. La firma da dos garantías, quién firmó y que el archivo no cambió después. No dice que el programa sea bueno, y si la autoridad que emitió el certificado lo revoca, dice lo contrario: esa clave ya no merece confianza. El motivo importa: «clave comprometida» significa que otros pudieron firmar con ella.

El dato que sirve al informe es el tiempo: cuánto tiempo llevaba revocado el certificado cuando la muestra llegó. Un archivo que se presenta firmado con una clave revocada hace semanas no es un descuido de quien lo recibe.

La cabecera lleva una fecha de compilación: el momento en que quien lo fabricó dice haberlo generado. Es un campo más y se escribe como cualquier otro: se puede dejar a cero, copiar de otro programa o poner a mano. Una fecha de 2019 en un archivo que se ve por primera vez en 2026 no hace al archivo antiguo; ni dice nada a favor de él.

Es una pista que se anota, se contrasta con el resto (cuándo llegó, cuándo se firmó) y no se usa para decidir.