Inspector de archivos binarios

Suelta un archivo de programa —un PE de Windows (.exe, .dll), un binario ELF de Linux o un Mach-O de macOS/iOS— y lee lo que declara sobre sí mismo antes de sacar herramientas más pesadas: sus cabeceras, secciones y segmentos, las bibliotecas y funciones que importa, sus exportaciones y símbolos, y cada cadena imprimible que contiene, junto con hashes MD5 y SHA y la entropía por sección. El archivo nunca sale de tu dispositivo y nunca se ejecuta: se abre y se lee en esta página, no se sube, porque un binario del que sospechas es exactamente el archivo que no deberías entregar al servidor de un desconocido.

Última actualización:

O suelta el archivo en cualquier lugar de este cuadro. Todo lo que sigue se lee del propio archivo, en este dispositivo. Solo análisis estático: el archivo se analiza, nunca se ejecuta. Límite: 128 MB.

Qué es esta página — y qué no es

Esto es una inspección estática de primera mirada: el archivo se analiza, nunca se ejecuta, y nada de lo aquí mostrado es un veredicto de malware. Los hallazgos son observaciones, no condenas: un archivo sin firmar es un hecho (muchas herramientas legítimas no están firmadas), una entropía superior a 7.2 es un hecho (los empaquetadores la elevan, pero también los recursos comprimidos ordinarios), y que exista un bloque de firma Authenticode no dice nada sobre si la firma es válida, solo que hay una. Para una segunda opinión sobre un archivo en el que no confías, compara su SHA-256 con un veredicto público mediante la búsqueda de la pestaña Resumen: se busca el hash, el archivo en sí nunca se envía. Los paquetes de Android tienen su propio lector dedicado, el APK Analyzer; lo que un programa hace en la red corresponde al PCAP Analyzer; y el artículo complementario, ¿pueden los agentes de IA hacer ingeniería inversa de tu aplicación?, explica hasta dónde llega hoy el análisis automatizado.

Lo que un archivo de programa declara antes de ejecutarse

Todo archivo de programa nativo comienza con una declaración de intenciones escrita para el cargador del sistema operativo. Un PE de Windows indica su máquina de destino, su marca de tiempo de compilación, la dirección en la que quiere cargarse y el subsistema que espera; su tabla de secciones muestra dónde viven el código, los datos y los recursos, y su tabla de importaciones enumera —por nombre— cada biblioteca y función que pretende llamar, que es lo más parecido a un índice que tiene un binario cerrado. Un binario ELF declara su clase, su orden de bytes y su máquina, el intérprete que lo lanzará, los segmentos que el kernel debe mapear y las bibliotecas compartidas que necesita, en orden. Un Mach-O declara su CPU y su tipo de archivo, sus segmentos y secciones, las dylibs que enlaza, un UUID que identifica la compilación y si su código está firmado o cifrado con FairPlay. Nada de esto requiere ejecutar el archivo, confiar en el archivo o subir el archivo: todo está en cabeceras que el propio cargador leerá.

Esta página lee exactamente esa capa, y deliberadamente solo la primera capa. No descompilará nada, no desempaquetará nada ni te dirá qué hace el código: ese es el trabajo de Ghidra, IDA y las cadenas de herramientas impulsadas por agentes que recorre el artículo complementario. Una primera mirada sirve para clasificar: ¿es la arquitectura que esperabas?, ¿está firmado?, ¿es un ensamblado .NET con disfraz nativo?, ¿una sección contiene datos sospechosamente densos?, ¿la lista de importaciones nombra bibliotecas que el programa no debería llamar?, y ¿el archivo que te enviaron es el mismo que recibieron todos los demás? — esto último lo responden los hashes sin rodeos (y el generador de hashes lo verifica para texto o archivos más pequeños). Cinco minutos de cabeceras, leídas localmente, responden la mayoría de esas preguntas antes incluso de instalar una herramienta pesada.

Preguntas frecuentes

¿Mi archivo se sube a algún sitio?

No. El archivo se abre y se analiza en esta página, en tu dispositivo, y nada se sube, se transmite ni se almacena: analizar un archivo no realiza ninguna petición de red. El único enlace externo de la página es la búsqueda en VirusTotal, y busca el hash SHA-256 del archivo como texto; el archivo en sí nunca se envía. La página también funciona sin conexión una vez cargada.

¿Puede esto decirme si un archivo es malware?

No, y cualquier lector de cabeceras que lo prometa está exagerando. Esta página informa de lo que el archivo declara —formato, arquitectura, secciones, importaciones, exportaciones, cadenas, presencia de firma—, lo que basta para detectar los casos descuidados: la «factura» que en realidad es un ejecutable de 32 bits, la compilación con una sección imposiblemente densa, el actualizador sin firmar cuyo hash no coincide con nada de lo publicado por el proveedor. Juzgar qué hace realmente el código requiere descompilación, ejecución en un entorno aislado o el veredicto de un escáner de confianza. Trata un resultado de aspecto limpio aquí como «nada en las cabeceras parece estar mal», nunca como un certificado de seguridad.

¿Qué es la entropía y por qué 7.2 es el umbral?

La entropía de Shannon mide lo aleatoria que parece una secuencia de bytes, de 0 (todos el mismo byte) a 8 (indistinguible del azar). El código compilado ordinario y el texto están muy por debajo de 7; los datos comprimidos se acercan a 8, y los datos cifrados están efectivamente en 8. Los empaquetadores comprimen o cifran el código real de un programa, por lo que una sección por encima de aproximadamente 7.2 es una señal estándar de clasificación de que «algo aquí fue comprimido», pero los instaladores, los recursos comprimidos, los medios incrustados y los entornos de ejecución modernos también producen secciones de alta entropía en archivos totalmente legítimos. Es un motivo para mirar más de cerca, no una conclusión.

¿Por qué mi archivo muestra tan poca estructura?

Porque la página informa de lo que el archivo declara realmente, y algunos archivos declaran muy poco. Un ELF despojado (stripped) puede no tener tabla de cabeceras de sección en absoluto (solo segmentos); un archivo artesanal o truncado puede terminar antes de las estructuras que su cabecera promete, en cuyo caso las notas lo dicen exactamente y todo lo mostrado se leyó igualmente de los bytes presentes. Y algunos formatos simplemente quedan fuera del alcance de los analizadores profundos: se identifican por nombre (ZIP, PDF, imágenes, etc.) y obtienen los datos genéricos —tamaño, hashes, entropía, cadenas— sin detalles inventados.