LupaBin: resumen breve

X10 · inferred

El código contiene 1 llamada de este tipo: escribir un valor en una clave de arranque automático (Run). Ninguno de los 3.090 binarios benignos medidos contiene un caso.

Regla

capability.run_key_value@1

Casos

0x00002016 RegSetKeyValueW: «HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run», valor «LupaBinTraining» (T1547.001)

Técnicas de MITRE ATT&CK con el mismo mecanismo

T1547.001 (Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder)

Límite (not_proven): Muchos instaladores y programas legítimos se registran así para arrancar con Windows. Los argumentos son una inferencia a partir de las instrucciones que preceden a cada llamada: que el código la contenga no demuestra que se ejecute, y un binario empaquetado solo muestra el código de su desempaquetador.

Evidencia: E13, E14, E15, E16, E17

Glosario: api.family.registry, capability.static, code.call_argument, code.import_call, evidence.confidence, attack.technique, attack.t1547_001

X1 · observed

El archivo es PE32 (32 bits, máquina x86, 0x014c). Declara el punto de entrada en la RVA 0x00002000 y un tamaño de imagen de 12.288 bytes.

Regla

pe.header@1

Límite (not_proven): Son valores declarados por el archivo: no garantizan que Windows lo cargue así ni dicen nada de lo que hace el programa.

Evidencia: E1

Glosario: pe.format · 1 citas de glosario omitidas en este HTML

Funciones del registro de Windows

Funciones para abrir, crear, leer, escribir y borrar claves y valores del registro de Windows.

Importar funciones de esta familia no demuestra ningún comportamiento: el 10,6 % de los binarios benignos medidos lo hace.

• RegOpenKeyExA function (Microsoft Learn): https://learn.microsoft.com/en-us/windows/win32/api/winreg/nf-winreg-regopenkeyexa · verificada el 2026-09-23

4 fuentes omitidas en este HTML.

Capacidad (en LupaBin)

Una frase sobre lo que contiene el código, construida con llamadas a funciones importadas y sus argumentos constantes: por ejemplo, una llamada que crea un servicio con un nombre y un binario concretos.

Una capacidad no demuestra que el programa haga eso ni con qué intención: depende de que la llamada se ejecute, y muchos programas legítimos contienen las mismas llamadas. Que no aparezca ninguna no demuestra que no las haya.

• Cómo trabaja LupaBin: qué se puede afirmar y qué no (Proyecto LupaBin): docs/metodo.md#qué-se-puede-afirmar-y-qué-no · verificada el 2026-09-25

1 fuentes omitidas en este HTML.

Argumento constante de una llamada

Un valor fijo que el código prepara justo antes de llamar a una función importada: una clave predefinida del registro, un número o la dirección de una cadena que está en el propio archivo.

Es una inferencia: no demuestra que la llamada se ejecute, ni que otro camino que el recorrido no ve no llegue a ella con otros valores, ni cuál es la clave que se abre de verdad (una clave predefinida puede redirigirse con RegOverridePredefKey). Que un argumento no aparezca no significa que no tenga valor.

• x64 calling convention: Parameter passing (Microsoft Learn): https://learn.microsoft.com/en-us/cpp/build/x64-calling-convention#parameter-passing · verificada el 2026-09-24

4 fuentes omitidas en este HTML.

Llamada a una función importada

Una instrucción del código que llama a una función de otra DLL a través de su casilla en la tabla de direcciones de import (IAT), donde el cargador escribe la dirección real de la función.

Que el código contenga una llamada no demuestra que se ejecute ni con qué fin; que no aparezca no demuestra que el programa no llame a la función.

• Importing function calls using __declspec(dllimport) (Microsoft Learn): https://learn.microsoft.com/en-us/cpp/build/importing-function-calls-using-declspec-dllimport · verificada el 2026-09-23

2 fuentes omitidas en este HTML.

Observado frente a inferido

LupaBin separa lo que se lee directamente de los bytes (observed, observado) de lo que se obtiene aplicando a esos bytes un método exacto, como una transformación o una regla del recorrido del código (inferred, inferido).

• Contrato de evidencias: regla principal (Proyecto LupaBin): docs/evidence-schema.md#regla-principal-no-inventar-datos · verificada el 2026-09-23

1 fuentes omitidas en este HTML.

MITRE ATT&CK: tácticas y técnicas

ATT&CK es una base de conocimiento pública de MITRE sobre el comportamiento de los atacantes. Una táctica es el objetivo (el porqué) y una técnica, la forma de conseguirlo (el cómo).

Coincidir con una técnica no demuestra intención: muchos programas legítimos usan el mismo mecanismo.

• FAQ (MITRE ATT&CK): https://attack.mitre.org/resources/faq/ · verificada el 2026-09-24

1 fuentes omitidas en este HTML.

T1547.001: claves Run del registro y carpeta de inicio

Técnica de persistencia de ATT&CK: añadir un programa a una clave Run del registro, o a la carpeta de inicio, para que se ejecute cuando el usuario inicia sesión.

Muchos instaladores y programas legítimos se registran así para arrancar con Windows.

• Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (MITRE ATT&CK): https://attack.mitre.org/techniques/T1547/001/ · verificada el 2026-09-24

1 fuentes omitidas en este HTML.

Formato PE (Portable Executable)

PE es el formato de los ejecutables y bibliotecas de Windows (.exe, .dll, .sys): una cabecera que describe cómo cargar el archivo, seguida de secciones con código y datos.

Que un archivo tenga formato PE válido no dice nada sobre lo que hace el programa.

• PE Format (Microsoft Learn): https://learn.microsoft.com/en-us/windows/win32/debug/pe-format · verificada el 2026-09-23