Un archivo. Evidencias para entenderlo.
Entiende un ejecutable.
Sin ejecutarlo.
Explora qué contiene, qué llama su código y qué no se puede afirmar. Sigue cada conclusión hasta la evidencia que la respalda.
Ejemplo sintético e inofensivo. Sin aportar una muestra, subir archivos ni consultar VirusTotal.
Análisis estático, no un veredicto de seguridad.
Tu mesa de análisis
Analizar un archivo
Ejecutables PE de Windows (.exe, .dll, .sys…), hasta 20 MiB.
- No se ejecuta. El archivo se abre en un contenedor aislado, sin red ni privilegios, que se destruye al terminar.
- No se guarda. Ni el archivo ni el informe quedan en el servidor; puedes descargarlos al final.
- Cada frase cita su evidencia y dice lo que no demuestra.
Enviando el archivo…
No se pudo analizar
Informe preparado offline a partir de datos de prueba inofensivos (capability-demo). No procede de un archivo aportado por ti ni de un análisis del worker web. Sus evidencias se contrastaron con los bytes del fixture. No se ha subido ningún archivo ni consultado VirusTotal para este ejemplo.
Cuaderno de análisis · tu informe
El estado indica hasta dónde llegó el análisis, no si el archivo es seguro.
Cómo usar el ZIP en Ghidra
Ghidra se abre fuera de esta web. El ZIP no contiene el PE ni lo importa por ti: lleva evidencias y un script para añadir anotaciones al programa abierto.
- Descarga «Evidencias para Ghidra (ZIP)» en «Descargar» y extrae sus dos archivos:
lupabin-ghidra.jsoneImportLupaBin.java. - Importa el mismo PE original en un proyecto de Ghidra y ábrelo en CodeBrowser, sin ejecutarlo. Si ya lo tienes abierto, comprueba que es ese archivo.
- Abre Window > Script Manager. Si falta el script, añade la carpeta extraída mediante Script Directories / Bundle Manager. Busca
ImportLupaBin.javaen el filtro del gestor. - Selecciona y ejecuta solo el script suministrado,
ImportLupaBin.java, con Run Script. Cuando lo pida, eligelupabin-ghidra.jsondel mismo ZIP. No ejecutes el PE. - Guarda la revisión previa en un archivo nuevo y lee sus anotaciones, conflictos y abstenciones. Si hay anotaciones preparadas, confirma solo si quieres aplicarlas; después guarda el programa en tu proyecto de Ghidra. Conserva el JSON y la revisión.
Si el SHA-256 no coincide, detente: no desactives esa comprobación. Necesitas el PE original completo. El ZIP del ejemplo sintético no sirve para otro ejecutable.
Usa solo exportaciones de procedencia confiable. El importador conserva las anotaciones existentes; añade evidencias, no un veredicto de seguridad. Verificar bytes no autentica el informe ni demuestra sus afirmaciones.
Preguntas de práctica sobre este informe
Cada pregunta indica con qué se responde: un hecho (una lectura de los bytes), una inferencia (el resultado de un método) o un criterio general (conocimiento de la materia, no un dato más sobre el archivo).
Un hecho es una lectura directa de los bytes del archivo; una inferencia, el resultado de aplicarles un método (una decodificación, una regla del recorrido del código).
Por dónde empezar
- : su formato, con qué se hizo y cómo está organizado.
- : qué funciones de Windows llama y con qué argumentos. Las capacidades reconocidas están resumidas aquí debajo.
- : cadenas, datos decodificados y entropía.
- : es una fuente externa, y una detección es la opinión de un motor.
- : lo que no se pudo analizar no queda descartado.
- .
Qué contiene el código
Capacidades reconocidas a partir de las llamadas del código y de sus argumentos constantes. Que el código las contenga no demuestra que el programa las use, ni con qué intención; el detalle y el límite de cada una están en «¿Qué contiene su código?».
Lo que limita este resumen
Qué partes se pudieron analizar y hasta dónde. Un resultado parcial dice lo que encontró, no que no haya nada más.