Bienvenidos.
En esta lección usaremos el ejecutable de nuestro ransomware.
Por favor, haz de esta práctica solo en tu Windows virtual Machin.
Tipo de archivo o Fayt type.
La identificación del tipo de archivo es esencial para identificar el sistema operativo para el cual
fue diseñado el malware y su arquitectura.
Los archivos de ejecutables del sistema operativo Windows usan el formato e porta bole executar vol.
En esta lección vamos a identificar el archivo bajo análisis.
Lo primero es de iniciar nuestra máquina virtual Windows 10.
Antes de empezar, debo advertir que usaremos un Rumson Ware, el ejecutable de Ramus Wan, hablamos
ya de las precauciones.
Por favor visitar la correspondiente sección.
Lo primero, vamos.
Vamos a abrir el estudio, vamos a correrlo como administrador y vamos a cargar allí nuestro ejecutable
de Ramos Wan.
Vamos a elegirlo.
Y listo.
Como puedes ver, aquí tenemos mucha información.
Resulta que el archivo es un archivo de 32 bits.
Ahora déjame señalar que, como regla no escrita y por experiencia, nunca deberías confiar de una sola
herramienta.
Por eso vamos a abrirlo en CFF Explorer.
Una vez que tengas instalado la herramienta, sólo haz clic derecho en el ejecutable y verás la opción
Abrir con CFF Explorer.
Está listo.
Aquí podemos confirmar que el archivo es de 32 bits y es un ensamblado y ha sido ensamblado en punto
net.
Microsoft Visual Studio Pontones, para ser exactos.
Estas dos herramientas nos dan mucha información.
Siéntete libre de explorarlas.
Ahora vamos a descansar, vamos a escanear el binario usando una herramienta online llamada Tragedy.
Tienes del enlace en tu documento recursos web?
Vamos a cargar nuestro ejecutable.
Presionamos de Start.
Y lo que nos está diciendo es que esta 79 por ciento seguro que este es un ensamblado de punto net.
Tal vez te estás preguntando por qué molestarse en usar tantas herramientas.
Créeme que por experiencia sé que muchas veces los resultados son contradictorios.
Entonces siempre es mejor usar algunas herramientas.
Vamos a continuar, abramos ramas Guana y CFF Explorer.
Ahora vamos a aprender cómo identificar manualmente el tipo de archivo usando la información en el porta
vuelo Execute Evola Estructuro.
Tal vez has notado que Estudio and CFP Explorer están tomando la información del Portabella Execute,
el destructor de tu binario.
Vamos a buscar autores converter, los seleccionamos y lo que tenemos aquí es el hexadecimal dump o
el vocado hexadecimal de nuestro binario Rambos 1.
No hay forma de falsificar el hexadecimal dump, sírveme.
Si recuerdas nuestra lección acerca del porta, el executar vol reconocerás de este 4 de 5.
A esto nos dice inequívocamente que esto es un archivo de Windows.
Y qué hay acerca de la arquitectura?
Bueno, vamos a ubicarnos en pie en esta línea y vemos este 4 6 0 1 que significa.
Vamos a usar esta y esta herramienta en línea para para conversión.
Tienes del enlace en tu documento web?
Vamos a poner aquí cuatro cero cero uno.
Vamos a analizar y vamos a buscar algo llamado Ali del Indian, que es la anotación que usa nuestro
hexadecimal.
Aquí tenemos 14s.
Es la traducción.
Ahora vamos a visitar el sitio oficial de Windows del portable Execute Abuela, estructuro formato.
Entonces, qué significa 14s?
Pues es el equivalente ahí 3, 8, 6.
Este es el tipo de procesador.
Ahora estamos 100 por ciento seguros que nuestro binario es un treinta y dos guión ochenta y seis bits.
Ahora, cómo reconocer los 64 bits?
Fácil.
Si no encuentras cuatro seis cero uno, pues es de 64 bits.
Por favor, acompáñame en la siguiente elección y gracias por mirar.