Fichero ejecutable

Un fichero ejecutable es un fichero que contiene instrucciones que un ordenador puede seguir para llevar a cabo una tarea.

Los ficheros de este tipo son lo que son los programas y las aplicaciones, y son también, por desgracia, una vía de entrega de malware de toda la vida.

Qué los caracteriza

Instrucciones para la máquina. Contienen código que el ordenador interpreta y ejecuta, desde algo tan simple como imprimir un mensaje hasta instalar software en todo el sistema.

Formatos. Cada sistema operativo tiene el suyo: .exe en Windows, .app en macOS, binarios ELF en Linux. También hay formatos portables, como un archivo Java, que se ejecutan allí donde esté instalado su runtime.

Potencial de abuso. Como ejecutan código en la máquina, se usan para entregar malware, y los atacantes disfrazan habitualmente uno de documento legítimo para conseguir que alguien lo abra.

Un ejemplo

Alguien recibe un correo aparentemente inofensivo con un adjunto llamado informe_financiero.exe.

Creyendo que es un informe, lo ejecuta.

Lo que hace en realidad es instalar ransomware, que cifra sus ficheros y exige un pago para liberarlos.

El truco más viejo del ejemplo no es el malware, es el nombre del fichero. Windows oculta por defecto las extensiones conocidas, así que un fichero llamado informe_financiero.pdf.exe se muestra como informe_financiero.pdf.

Por qué bloquear ejecutables ya no basta

Bloquear los adjuntos .exe en la pasarela de correo era un control razonable, y funcionó lo bastante bien como para que los atacantes se movieran.

Se movieron en tres direcciones, y las tres son hoy corrientes.

La primera es el dropper: lo que el usuario abre no es el malware, es un trozo pequeño de código, a menudo en un script o en un documento, cuyo único trabajo es traer después el payload real.

La segunda es el living off the land: no se entrega nada nuevo en absoluto, y el atacante usa los intérpretes y las herramientas de administración que ya están instalados y en los que ya se confía.

La tercera es el fileless malware, que se ejecuta en memoria y nunca escribe un ejecutable en disco, así que no hay nada que un control basado en ficheros pueda examinar.

La consecuencia práctica es que la pregunta ha cambiado. Ya no es qué tipos de fichero se dejan entrar, es qué procesos se dejan ejecutar y qué padres pueden lanzarlos. Que un lector de documentos abra un intérprete de comandos no es un problema de ficheros, y es una de las cosas más valiosas sobre las que una organización puede alertar.

Dónde leer más

Techopedia, Executable file: una visión general de qué son estos ficheros y del papel que desempeñan en la ejecución de software.