Hola y bienvenidos a esta lección.
Portable executar vol?
Qué es?
Es una estructura usada por el sistema operativo Windows para representar un ejecutable como un punto
exe, un punto DLL, un punto XYZ entre los más conocidos.
Por qué es importante para nuestro propósito?
Es importante porque nos dará algunas claves necesarias para analizar el malware.
En esta lección vamos a aprender la estructura portable execute de Windows.
Como dije antes de esta estructura, este encargo de manejar los ejecutables de Windows y nos dará algunas
pistas para hacer nuestro análisis de malware.
Vamos a encontrar este cuadro o esta figura con algunas variaciones, pero no importa, voy a explicar
las partes esenciales, las partes que necesitamos para analizar malware.
Este es, en mi opinión, el más completo, la más completa representación de un Portabella execute
que podemos encontrar.
Podemos ver el autor aquí en la esquina.
Lo que tenemos aquí es un ejecutable llamado simple punto exe, que simplemente se va a desplegar el
típico jelou word.
El ejecutable está dividido en dos partes cabeza y secciones, que a su vez están divididos en más partes.
La cabecera 2 era usada para compatibilidad con el sistema operativo 2.
No es importante ahora, ya que es un sistema operativo antiguo en desuso.
Vamos a ver el hexadecimal domm o volcado hexadecimal, como probablemente sabes, tu computadora para
entender instrucciones tiene que hacerlo en binario.
Un hexadecimal dom o volcado hexadecimal es una representación de data stream o flujo de datos de tu
binario, donde el contenido de ese stream es desplegado en valores de hexadecimales.
En la sección de Haskell Dom la column.
En esta columna tenemos la representación ASCII de los otros valores.
Vamos a tomar por ejemplo este msj y vamos a ponerlo en un traductor.
Como ves el el hexadecimal es 4 de 5 a este 4 de 5.
Es una marca distintiva, un sello si quieres de los archivos de Windows.
Como ves, de este 4 de 5a en aquí es MZ.
Por lo tanto, este es un archivo de Windows.
Por cierto, M.
Z son las iniciales del desarrollador.
Marc Sikorski.
Pege Heder.
Empieza con el campo signature, el valor P significa, por supuesto, Portobelo execute aquí en verde.
Luego tenemos Machin.
Este hexadecimal aquí es importante porque indica el tipo de procesador en el que este malware puede
ejecutarse.
Veremos esto con más detalle.
Luego, en la sección Tipo de archivo o failed tayta.
La siguiente parte, como su nombre dice, es opcional si el ejecutable la tiene en esta cabecera podemos
encontrar el tipo de procesador aquí en el Magic bombero número mágico.
En la siguiente sección tenemos el Data Directory.
Estos mayormente son punteros a los de Export Import.
En la sección Import encontrarás todas las funciones APIs que este ejecutable necesita consumir y Annex
por las funciones o APIs que está dispuesto a compartir con otros programas.
Veremos esto con una herramienta en un minuto.
Esta sección tabla define como el archivo descargado en memoria contiene una lista de todas las secciones
en el ejecutable.
No es importante por ahora.
Te recuerdo que estamos estamos chequeando el ejecutable nombre de nombre simple, simplemente desplegará
el mensaje jelou wor.
Aquí tenemos el código en ensamblador.
Cabe recalcar que esto no es parte del Portabella Execute Evola Estructure es simplemente algo que el
autor añadió para que podamos ver el código de este archivo en el lenguaje ensamblador y su código equivalente
en el lenguaje C que está aquí junto.
Repito, esto no son partes del portavocía executar.
Podremos usar un debugger para ver el lenguaje ensamblador o un compilador para ver el lenguaje C.
Ahora, en este import structures podemos ver las lapis que este ejecutable necesita para funcionar.
Por supuesto, son más lapis involucradas, pero para el ejemplo estas están bien.
Es éxit proces y Message Box A.
Que pertenecen a quedar en el 32 punto de ll y Usser 32 punto de.
Verás mucho de estas lapis cuando e inspeccione los archivos.
Como otro, como cualquier otro programa, Windows necesita funciones para hacer de todo, estas funciones
son las lapis que están contenidas dentro de DLL.
Veamos en esta herramienta CFP Explorer de lo que estoy hablando, sólo te estoy dando un vistazo.
Veremos un poco más de esto después.
Aquí tenemos la importo y la ex por directory en la Import Directory vemos mucho de esto cuyo user 32
dll anclarme el 32 dll con sus respectivas APIs.
Estas API son muy importantes para que un ejecutable funcione.
En la Éx.
En Éx.
Por Directory tenemos las funciones que este archivo está dispuesto a compartir.
Es decir, a que otros programas lo usen.
Volvamos a nuestro documento.
Finalmente, tenemos del string que desplegará el Outworld Huala mundo en español, por supuesto.
Si quieres chequear todas las lapis de Windows, te dejamos un enlace en tu documento Recursos web.
Gracias por mirar.
Espero verte en la próxima lección.