Empieza por la identidad del archivo y una pregunta concreta. Su nombre y una etiqueta de detección no bastan para establecer qué hacen sus bytes. La inspección estática ayuda a localizar estructuras y recorridos que requieren atención.
El flujo Reverse compatible de NotHoly inspecciona archivos PE y ELF acotados sin ejecutarlos. Su disponibilidad depende del runner configurado. Otros formatos y el análisis dinámico necesitan herramientas adecuadas.
Antes de empezar
- Una muestra seleccionada y manejada en un entorno de análisis apropiado, con su hash original registrado.
- El formato observado y la tarea: examinar imports, entender un decodificador o explicar una función.
- Fragmentos estáticos relevantes y observaciones externas identificadas por su fuente.
Sigue los pasos
- Confirma hash y formato antes de subir el archivo. Conserva un original separado para que cambios posteriores no alteren la evidencia citada.
- Comprueba la disponibilidad actual de Reverse y selecciona el archivo explícitamente. Un modo listado no demuestra que su runner esté conectado.
- Examina secciones, imports y cadenas acotadas antes de centrarte en una función. Guarda offsets y nombres junto a las evidencias extraídas.
- Sigue entradas, transformaciones y consumidores. Pide qué demuestra el código y qué aún requiere observación durante la ejecución.
- Contrasta en tu desensamblador y registra limitaciones: empaquetado, llamadas sin resolver o dependencias ausentes.
Usa un prompt preciso
Adáptalo a tus pruebas
Inspecciona este archivo estáticamente. Establece su formato e identifica funciones relacionadas con la decodificación de configuración. Explica el recorrido seleccionado con offsets o referencias a funciones. Separa capacidad importada, comportamiento posible y ejecución observada. Una cadena incrustada no demuestra contacto con un destino.
Verifica tu trabajo
- El resultado usa el mismo hash y sustenta sus afirmaciones con ubicaciones inspeccionables.
- La investigación no confunde imports, etiquetas ni cadenas con pruebas de que ocurrió una acción.
- Formatos no compatibles, evidencias truncadas y flujo de control sin resolver quedan explícitos.
Lleva tus evidencias a una conversación y trabaja en la siguiente pregunta.
Abrir chat