Un archivo. Evidencias para entenderlo.
Explora qué contiene, qué llama su código y qué no se puede afirmar. Sigue cada conclusión hasta la evidencia que la respalda.
Ejemplo sintético e inofensivo. Sin aportar una muestra, subir archivos ni consultar VirusTotal.
Análisis estático, no un veredicto de seguridad.
Tu mesa de análisis
Ejecutables PE de Windows (.exe, .dll, .sys…), hasta 20 MiB.
Qué inspecciona
Cada método se mide antes sobre binarios benignos y cada resultado se revalida en el host contra los bytes reales del ejecutable. Consultar resumen HTML estático del caso de estudio.
Lee hashes, secciones, permisos de escritura y ejecución, entropía, marcas de compilador (MSVC, GCC, MinGW-w64, Go, .NET, PyInstaller), ruta PDB, textos de versión, tabla de certificados y datos tras la última sección.
Recorre instrucciones estáticamente con Capstone para localizar llamadas a 72 funciones de la API de Windows, recuperar argumentos constantes en registros o pila y separar lo alcanzable desde main del arranque.
Resume capacidades observadas en el código (claves Run, servicios, ejecución de comandos, memoria escribible y ejecutable, red o criptografía) junto con su frecuencia medida en 3.090 binarios benignos.
Inspecciona tablas de metadatos CLI/CLR (P/Invoke, miembros, tipos y textos literales) y reconstruye estáticamente secciones, punto de entrada, importaciones y cadenas ocultas en ejecutables comprimidos con UPX 5.
Extrae cadenas ASCII y UTF-16, aplica decodificación verificada de Base64, hexadecimal y XOR de 1 a 8 bytes anclado en texto conocido, y evalúa reglas YARA propias dentro de un subproceso aislado.
Regenera cada afirmación desde sus citas con su límite explícito, incluye glosario con fuentes primarias, preguntas tipo test autocorregibles y exportación ZIP con ImportLupaBin.java para Ghidra.
Preguntas frecuentes
No. LupaBin nunca ejecuta ni emula el programa ni emite veredictos de seguridad. Lee los bytes dentro de un contenedor Linux sin red ni privilegios y describe qué estructuras, llamadas y cadenas contiene el ejecutable.
No utiliza modelos de lenguaje para deducir resultados. El host comprueba de nuevo cada evidencia contra los bytes de la muestra, regenera cada frase a partir de sus citas y declara siempre lo que ese dato no demuestra.
Sí. El botón «Ver informe de ejemplo» abre un informe completo generado a partir de un archivo sintético e inofensivo, con filtros, glosario, descargas y preguntas de práctica autocorregibles sin consultar servicios externos.
Desde el menú «Descargar» puedes obtener un archivo ZIP con lupabin-ghidra.json y el script ImportLupaBin.java. Al ejecutarlo en Ghidra sobre el mismo ejecutable, verifica el SHA-256, genera una revisión previa y añade comentarios sin sobrescribir tus anotaciones.
Enviando el archivo…
Informe preparado offline a partir de datos de prueba inofensivos (capability-demo). No procede de un archivo aportado por ti ni de un análisis del worker web. Sus evidencias se contrastaron con los bytes del fixture. No se ha subido ningún archivo ni consultado VirusTotal para este ejemplo.
Cuaderno de análisis · tu informe
El estado indica hasta dónde llegó el análisis, no si el archivo es seguro.
Ghidra se abre fuera de esta web. El ZIP no contiene el PE ni lo importa por ti: lleva evidencias y un script para añadir anotaciones al programa abierto.
lupabin-ghidra.json e ImportLupaBin.java.ImportLupaBin.java en el filtro del gestor.ImportLupaBin.java, con Run Script. Cuando lo pida, elige lupabin-ghidra.json del mismo ZIP. No ejecutes el PE.Si el SHA-256 no coincide, detente: no desactives esa comprobación. Necesitas el PE original completo. El ZIP del ejemplo sintético no sirve para otro ejecutable.
Usa solo exportaciones de procedencia confiable. El importador conserva las anotaciones existentes; añade evidencias, no un veredicto de seguridad. Verificar bytes no autentica el informe ni demuestra sus afirmaciones.
Cada pregunta indica con qué se responde: un hecho (una lectura de los bytes), una inferencia (el resultado de un método) o un criterio general (conocimiento de la materia, no un dato más sobre el archivo).
Un hecho es una lectura directa de los bytes del archivo; una inferencia, el resultado de aplicarles un método (una decodificación, una regla del recorrido del código).
Capacidades reconocidas a partir de las llamadas del código y de sus argumentos constantes. Que el código las contenga no demuestra que el programa las use, ni con qué intención; el detalle y el límite de cada una están en «¿Qué contiene su código?».
Qué partes se pudieron analizar y hasta dónde. Un resultado parcial dice lo que encontró, no que no haya nada más.