Malware · Herramienta

Comprobador de archivos

¿Te has descargado un “geometry dash auto speedhack.exe” y ahora te lo estás pensando? Buen instinto. Suéltalo aquí y te digo lo que es de verdad, si su nombre te intenta engañar, y su huella, para que lo puedas buscar en VirusTotal con un clic.

Tu archivo nunca se sube. Todo pasa dentro de tu navegador, en tu propio PC. Yo no lo recibo, mi servidor no lo recibe, nadie lo recibe. Y comprobarlo aquí no lo ejecuta, así que tranquilo.

Esto no es un antivirus. Pilla nombres tramposos y tipos de archivo falsos y reconoce el malware del que he escrito, pero “sin avisos” no significa “seguro”. Para un veredicto de verdad de decenas de motores antivirus, pulsa el botón de VirusTotal. Y si no te fías de un programa, el mejor antivirus del mundo es no hacerle doble clic.

Cómo funciona

El comprobador mira tres cosas:

  • Lo que es el archivo de verdad. Cada tipo de archivo empieza con unos pocos bytes “mágicos”: los programas de Windows empiezan por MZ, las imágenes PNG por ‰PNG, los PDF por %PDF. Así sabe que tu “foto.jpg” es en realidad un programa, por muy inocente que parezca el nombre.
  • Trampas en el nombre, como la doble extensión que usaba ILOVEYOU (.TXT.vbs), un carácter invisible que le da la vuelta al final del nombre (sí, eso existe), o un montón de espacios que empujan el .exe de verdad fuera de la vista.
  • Sus huellas. Un hash como SHA-256 se calcula a partir de cada byte, así que identifica exactamente este archivo. Cambia un solo byte y el hash es completamente distinto. VirusTotal usa la misma huella, por eso el botón te puede enseñar sus resultados sin que tu archivo salga nunca de tu PC.

En los programas de Windows también lee la cabecera como lo hace la pestaña Details de VirusTotal: si es de 32 o 64 bits, cuándo dice que se compiló, sus secciones y si tiene un bloque de firma digital. Así descubrí que MEMZ se compiló el 10 de julio de 2016. En domingo. Leurak, qué hacías un domingo.