Análisis Forense Binario y de Archivos Comprimidos - Analizador Gratuito de Firmas, Entropía, Hexadecimal y Estructura de Archivos
Análisis Forense Binario y de Archivos Comprimidos
Identifica cualquier archivo por sus bytes mágicos, encuentra archivos ocultos dentro de él, detecta regiones comprimidas o cifradas, y compara archivos byte a byte. Suelta un archivo comprimido y también se lee la estructura de su contenedor - entradas, integridad, anomalías y archivos anidados - sin subir nada.
Suelta cualquier archivo aquí
De los archivos comprimidos (.zip .tar .gz .bz2 .xz .7z .rar) también se lee la estructura - o haz clic para buscarlo en tu dispositivo
Elegir archivoQué se analiza
- Cualquier archivo - identificación por bytes mágicos, archivos incrustados extraídos, entropía por bytes, integridad del índice ZIP, un visor hexadecimal con comparación de dos archivos, y cadenas.
- Archivos comprimidos - ZIP, TAR, GZIP, BZIP2, XZ, 7z y RAR reciben además sus entradas, la integridad del directorio central, anomalías (zip-slip, bombas, tipos disfrazados), archivos anidados y una pestaña para extraer y transferir.
Los propios bytes del archivo deciden; la extensión solo es un respaldo. Carga un archivo para ver aquí sus herramientas de análisis.
Resumen del Archivo
Qué tipo de archivo comprimido es, cuántas entradas declara y qué destaca en la forma en que se construyó.
Entradas
Cada entrada que declara este archivo, en su propio orden - método de compresión real, cifrado, marcas de tiempo e indicadores leídos directamente de las cabeceras del formato, no adivinados a partir de una extensión de archivo.
Directorio Central frente a Cabeceras Locales
El índice central de un archivo ZIP se compara campo por campo con la propia cabecera local de cada entrada. Varios trucos de evasión de firmas basados en archivos comprimidos dependen exactamente de que este tipo de discrepancia no se compruebe.
Anomalías
Todos los hallazgos heurísticos que produjo este análisis, reunidos en un solo lugar - rutas transversales, tasas de compresión propias de una bomba, nombres duplicados, tipos de archivo disfrazados y más.
Archivos Anidados
Los archivos comprimidos encontrados dentro de este archivo, abiertos y analizados a su vez, con un límite de profundidad y un presupuesto de bytes compartido. Se ejecuta una comprobación de bomba de compresión en cada uno, usando solo sus tamaños declarados, antes de que esta herramienta descomprima un solo byte.
Extraer y Transferir
Guarda cualquier entrada legible en tu dispositivo, o ábrela directamente en la herramienta forense que coincide con su tipo detectado. Nada de esto se sube a ningún sitio.
Texto en Nombres y Comentarios
Texto legible extraído de cada nombre de entrada y campo de comentario que esta herramienta puede ver sin descomprimir nada.
--
Identificación de Archivo
Lo que indican los propios bytes mágicos del archivo, comprobado contra su extensión declarada.
Archivos Extraídos
Cada lugar del archivo donde aparece la firma de otro formato, en cualquier posición - un archivo añadido tras el final de otro es una forma común de ocultar datos.
Entropía de Bytes
Regiones del archivo que se leen casi como aleatorias, lo que normalmente significa datos comprimidos, cifrados o empaquetados.
Integridad ZIP
Compara la cabecera local de cada entrada con el directorio central - una discrepancia es señal de que el archivo se editó manualmente después de creado.
Visor Hexadecimal y Comparación
Cada byte del archivo cargado. Añade un segundo archivo para compararlos byte a byte, con las diferencias resaltadas en ambos.
--
Cadenas
Toda secuencia de texto legible en el archivo, tanto ASCII como UTF-16, con filtros para las formas que más importan en un binario - URLs, rutas, direcciones IP, claves de registro y direcciones de correo.
Entender el análisis forense binario y de archivos comprimidos
Por qué las extensiones de archivo pueden mentir
La extensión de un archivo es solo una convención de nomenclatura en la que el sistema operativo confía por defecto - nada impide que un archivo ZIP se renombre para terminar en .jpg, o que un script se haga pasar por un documento. Cada formato de archivo real comienza en cambio con una secuencia de bytes corta y fija (un "número mágico") que lo identifica sin importar cómo se llame. Comprobar esos bytes directamente, en lugar de confiar en la extensión, es el mismo primer paso que dan las herramientas forenses y los entornos de análisis de malware antes de hacer nada más con un archivo desconocido - y es lo que decide aquí si el análisis de archivo comprimido llega a ejecutarse.
Qué mide realmente la entropía
La entropía de Shannon mide cuán impredecible es un tramo de bytes - el texto plano y los datos estructurados simples tienen entropía baja porque ciertos valores de byte se repiten mucho más que otros, mientras que los datos comprimidos, cifrados o empaquetados parecen casi aleatorios, con cada valor de byte más o menos igual de probable. Un archivo que en su mayoría tiene entropía baja pero con un tramo de entropía alta insertado es una señal clásica de una carga cifrada, un ejecutable empaquetado o un archivo comprimido oculto dentro de un archivo aparentemente normal. Los bytes añadidos tras el marcador de fin de un formato son invisibles para un visor normal, y es lo que revela buscar firmas en cualquier posición.
Zip-Slip: una ruta, no una carga útil
Una entrada de archivo comprimido puede llamarse casi cualquier cosa, incluido ../../etc/cron.d/evil. Un extractor ingenuo que una el nombre de la entrada a la carpeta de destino sin comprobarlo antes escribirá ese archivo justo donde apunten los segmentos ../ - completamente fuera de la carpeta en la que el usuario creía estar extrayendo. Esto no es un fallo de un formato en concreto; es un fallo de confiar en un nombre. Esta herramienta comprueba el nombre de cada entrada en busca exactamente de ese patrón, junto con rutas absolutas y letras de unidad de Windows, antes de que ocurra cualquier extracción.
Una bomba que nunca detonas
Una bomba de compresión es un archivo pequeño que se expande a uno enorme - unos pocos kilobytes en disco que reclaman gigabytes de contenido una vez descomprimidos. La única forma segura de detectarla es leer los tamaños DECLARADOS que ya lleva la propia cabecera del archivo y compararlos, nunca descomprimir primero para ver qué pasa. Esta herramienta calcula cada tasa solo a partir de los campos de cabecera; una posible bomba se notifica y se deja intacta, no se descomprime «para comprobarlo».
Dos cabeceras, un archivo, dos respuestas
Un archivo ZIP tiene dos índices independientes para las mismas entradas: el directorio central al final del archivo, y la propia cabecera local de cada entrada justo antes de sus datos. Las herramientas zip normales los mantienen sincronizados automáticamente; casi ninguna comprueba si coinciden. Cuando un nombre, tamaño, suma de verificación o método difiere entre ambos, distintos programas de descompresión pueden extraer contenido completamente distinto de los mismos bytes - que es exactamente cómo un escáner de firmas ve un archivo mientras la extracción real produce otro, y una fuerte señal de que el archivo se editó manualmente con una herramienta de bajo nivel después de creado.
Archivos hasta el fondo
Una carga maliciosa muy a menudo no es el propio archivo comprimido, sino otro archivo comprimido almacenado dentro de él - un ZIP dentro de un ZIP, o un TAR dentro de una envoltura GZIP (un simple .tar.gz, la misma forma que le encanta usar a una bomba de compresión para esconderse). Esta herramienta abre lo que encuentra dentro de un archivo y lo analiza a su vez, con un límite de profundidad y un presupuesto de memoria compartido, ejecutando exactamente la misma comprobación de bomba en cada nivel antes de decidir si es seguro bajar un nivel más.
Estructura, no contenido
Esta herramienta lee bytes y estructura de contenedor - firmas, entropía, cabeceras, índices, nombres, tamaños, indicadores y marcas de tiempo - y nunca descomprime una posible bomba ni un formato que no puede decodificar con seguridad. Las entradas de 7z y RAR se listan solo a partir de sus propias cabeceras; la compresión de ninguno de los dos formatos está implementada aquí, deliberadamente. Un archivo sin hallazgos no es garantía de seguridad - significa que estas heurísticas concretas no encontraron nada que señalar, no que se haya examinado el contenido descomprimido en sí. Trata cada hallazgo como una pista y, cuando lo que está en juego sea importante, extrae e inspecciona el contenido con herramientas diseñadas para ello en un entorno que controles.
Puntos clave
- Cualquier archivo se identifica por sus bytes, no por su nombre: la comprobación de bytes mágicos, la extracción, la entropía, el visor hexadecimal y las cadenas se ejecutan sobre todo lo que sueltes; de los archivos comprimidos se lee además la estructura.
- Las tasas de compresión se calculan solo a partir de tamaños declarados: una posible bomba se notifica, nunca se descomprime para confirmarlo.
- Cada nombre se comprueba en busca de rutas «zip-slip», rutas absolutas y letras de unidad antes de que esta herramienta - o tú - extraiga nada.
- El directorio central se coteja con cada cabecera local, y los archivos dentro de archivos también se abren, con un límite de profundidad y un presupuesto de bytes compartido.
- Nada sale de tu dispositivo: todo análisis, comprobación, comparación y descompresión (acotada) se ejecuta en tu navegador.