EICAR (fichero de prueba) · Museo del Malware

  .---.
 / x x \
 |  ^  |
 | === |
  '---'

MAL 1991

EICAR (FICHERO DE PRUEBA)(7) Museo del Malware EICAR (FICHERO DE PRUEBA)(7)

NOMBRE

eicar (fichero de prueba) — Fichero de prueba estándar de 68 bytes que todo antivirus detecta por acuerdo, sin ser malicioso. Es la pieza con la que se validó por primera vez el laboratorio de este proyecto.

alias: EICAR-STANDARD-ANTIVIRUS-TEST-FILE

SINOPSIS

eicar (fichero de prueba) --tipo otro --año 1991 --severidad baja --autor "European Institute for Computer Antivirus Research"

DESCRIPCIÓN

EICAR no es malware: es una cadena de 68 caracteres imprimibles acordada por la industria para que cualquiera pueda comprobar que su antivirus reacciona, **sin necesidad de manejar una muestra real**. Ejecutado en DOS, imprime una línea y termina.

En este proyecto sirvió para la primera validación del laboratorio: demostró que el aislamiento contiene —cero paquetes en el puente y cero en los testigos de las interfaces físicas— y que el ciclo completo funciona, de la comprobación del aislamiento a la reversión de la máquina.

Lo que no puede demostrar es que el análisis sirva de algo, porque no hace nada observable. Para eso están los dos simuladores.

PROPAGACIÓN

Ninguna.

CARGA ÚTIL

Imprime «EICAR-STANDARD-ANTIVIRUS-TEST-FILE!» y termina. No toca ningún fichero.

INDICADORES

autor / origen: European Institute for Computer Antivirus Research
sha256: 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f

SHA-256: 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f
MD5: 44d88612fea8a8f36de82e1278abb02f
Tamaño: 68 bytes

DETONACIÓN

Qué hace esta pieza al ejecutarse

Lo que sigue es el informe de una detonación de EICAR (fichero de prueba) realizada en el laboratorio aislado del museo y revisada antes de exponerse. La muestra nunca sale de ese laboratorio: aquí solo están los resultados observados.

Ejecución real. Informe de una DETONACIÓN REAL en el laboratorio aislado del proyecto (VM desechable, red simulada con INetSim y trampa DNS). La muestra no abandona el laboratorio; solo se han importado los resultados observados.

Veredicto

Resume si se observó actividad. Sospechoso significa que la pieza hizo algo observable; desconocido, que no se observó nada —que no es lo mismo que «inofensiva»: puede que no se activara en el tiempo que duró la observación—. Un informe redactado por la máquina nunca dice «malicioso», porque clasificar ya es interpretar.

desconocido

Confianza

Cuánto respaldo tiene ese veredicto. Es baja en los informes automáticos por diseño: una sola ejecución, de duración limitada, en un entorno que el malware puede detectar.

baja

Puntuación

Una medida de gravedad, cuando alguien la ha calculado. Si pone sin calcular, es que este informe lo redactó la máquina: puntuar exige una escala y un criterio que un programa no puede aportar sin inventárselos.

sin calcular

Este informe lo redactó la máquina con lo que pudo observar, así que no lleva puntuación: puntuar sería interpretar, y esa valoración la añade después el curador.

Este informe describe lo que se observó al ejecutar la pieza en una máquina aislada. No es un dictamen: la clasificación de la pieza vive en su ficha, y esto es la evidencia de lo que hizo. Cada ? de abajo explica su apartado.

Entorno de análisis

En qué máquina se ejecutó, cuánto duró la observación y cómo estaba aislada. La duración importa al leer el resto: lo que no ocurrió en esos segundos no está en el informe, y eso no prueba que no ocurra nunca.

Sistema víctima: malware-dos (perfil dos)
Aislamiento: verificado al arrancar la detonacion: red del laboratorio sin salida, radio bloqueada y enlaces fisicos abajo. Durante la observacion lo atestiguan los testigos de fuga
Duración del análisis: 180 s
SHA-256: 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f

Firmas de comportamiento

Los hechos que se pudieron afirmar: cuántas veces cambió la pantalla, si los testigos de fuga quedaron a cero, qué dominios se pidieron.

INFORME AUTOMATICO: son hechos observados por la maquina, no una clasificacion. La interpretacion la anade despues el curador.
Observacion de 180 s sobre el invitado «malware-dos» (perfil dos).
La pantalla del invitado cambio 16 veces.
El disco del invitado quedo IDENTICO a la imagen base.

Comportamiento por sistema operativo

Qué vio cada observador. Los testigos de fuga son capturas de red tomadas FUERA del recinto aislado: que estén vacías es la prueba de que no salió nada. Un testigo «no medido» no prueba lo contrario —prueba que no se midió—, y por eso se distingue.

Comportamiento por sistema operativo
Sistema	Estado	Comportamiento observado
Testigo de fuga en eno1	sin trafico (contadores del nucleo)	la interfaz estaba abajo y sus contadores de tramas enviadas y recibidas no se movieron en toda la observacion: nada salio por ella
Interfaz wlo1	bloqueada por rfkill	sin radio no hay ruta: no habia por donde salir
Disco del invitado	sin cambios	comparado desde fuera, con el invitado apagado, contra la imagen base sellada
Pantalla del invitado	16 fotograma(s) distinto(s)	cada fotograma es un momento en que la pantalla cambio; los identicos se descartan
Red del recinto aislado	sin consultas de DNS	la muestra no pidio ningun nombre durante la observacion
Trafico dentro del recinto	sin tramas del invitado	el invitado no envio ninguna trama; esto NO dice nada sobre fugas, que se miden con los testigos de arriba
Sectores escritos en el disco	ninguno	el invitado no escribio un solo sector en su disco
Memoria del invitado (primer MiB)	vectores de interrupcion sin cambios; memoria convencional intacta	62 bloque(s) distintos en total: 1 en area de datos de la BIOS, 57 en memoria convencional, 4 en ROM y memoria superior. Parte de la memoria convencional cambia por el mero funcionamiento del invitado entre los dos volcados
El anfitrion durante la observacion	sin incidencias	el nucleo del anfitrion no registro denegaciones de AppArmor ni caidas de proceso mientras la muestra corria
Servicios de la red simulada (INetSim)	sin servicios	INetSim se paro limpiamente al cerrar y no escribio informe, que es lo que hace cuando ningun servicio recibio una conexion

Actividad sobre ficheros

Qué ficheros creó, modificó o borró la pieza dentro de la máquina aislada.

Actividad sobre ficheros
Acción	Ruta
sin cambios	sector de arranque del disquete (unidad A:)
sin cambios	sector de arranque del disco duro (MBR)

Indicadores de red

Los nombres de dominio que la pieza intentó resolver. En el laboratorio ninguna consulta sale a Internet: todas caen en un servidor falso que responde desde dentro, así que esto dice a quién quería llamar, no con quién habló.

Sin actividad de red observada.

Procesos observados

Qué programas se pusieron en marcha durante la observación.

Procesos observados
PID	Proceso	Acción

Cronología de la ejecución

Cuándo ocurrió cada cosa, contado desde que arrancó la máquina.

+0 s Arranque del invitado «malware-dos» sobre base limpia
+1 s Primer cambio en la pantalla del invitado
+23 s Ultimo cambio en la pantalla del invitado
+180 s Fin de la observacion, apagado y sellado de evidencias

Qué se vio en pantalla

Fotogramas del sistema infectado. Solo aparecen los momentos en que la pantalla cambió: los repetidos se descartan. De todos los registrados se exponen los que una persona eligió.

Fotogramas tomados del sistema invitado durante la ejecución, seleccionados entre los 16 que registró el ciclo.

pantalla_0016.png

Cadena de custodia

El resumen criptográfico de cada evidencia, calculado dentro del laboratorio antes de que volviera a haber red. Acredita de dónde sale lo que estás leyendo. El museo lo conserva pero no puede recalcularlo: no tiene los ficheros, y que no los tenga es el aislamiento funcionando.

Manifiesto sellado en el laboratorio y recibido con el informe el 2026-10-30. El museo lo conserva como procedencia: no puede recalcular los resúmenes, porque las evidencias no cruzaron el aislamiento.

== MANIFIESTO DE DETONACION ==
Fecha            : 2026-10-30T11:03:48+01:00
VM               : malware-dos   (perfil: dos, snapshot base: limpio)
Etiqueta         : trabajo_787865a3
Muestra (nombre) : eicar.com
Nombre en el CD  : EICAR.COM
Muestra SHA-256  : 275a021bbfb6489e54d471899f7db9d1663fc695ec2fe2a2c4538aabf651fd0f
Ejecucion        : automatica (D:\EJECUTAR.BAT; salida dada por el anfitrion a los 21 s, tras la memoria de referencia)
--- evidencias (SHA-256) ---
  83171aae6d0365883e863df7b27cd0a6a9eebe4d48e6463fda4f6a1c2683a8aa  pantalla_0015.png
  b04a770b01fb5d8ba4656271f7ba9232aed92a40fa2c49f57250901bde79d83e  pantalla_0001.png
  6d6f9ee589454947aa62048f06b87b804d366dd3beba6df35f0fa6dec1a14968  pantalla_0013.png
  ff3c1094be48cb08dc1a3c807cbc5dbe4d71b4bc62fc179c552977060284d2f6  sector_arranque.hex
  70989539ce755e525e8e6f76205461237bd4ce0f0cdfccc6dd289deabe6f591c  pantalla_0010.png
  6a86a520695dff7e05b0465c5dc6da17fcd28dbd9cccece934a3bff580457e71  fuga_eno1.tx
  2fdc72e4dfd27aee4481ffe1fc99f0eb717a909839725c2c41d031ec9f7ca8ff  anfitrion_durante.txt
  8ba26d578105549668cfd23bdac4048aacc4b94035ce35b3575092f40090d7f0  pantalla_0005.png
  704e5e5b3234433c01fcfd1b20a306e77e985038120492dc53965c3edd38a4ea  captura_lab.pcap
  b72d4564528922c114c86d2b9c7327a535d7aefbc65f2f84e715624ff909e8bf  capturas.txt
  bc2ca7ff3dacb1a541347f0e7a71a36c8ce25ca83281625b9d5775f45f5c2f26  pantalla_0007.png
  5221f327e20e832e4a5f18f243a0236886064b158600ca88d147d79ff078fcfa  pantalla_0016.png
  91b3ac351d09b3c21a5113a97315533688f58ad0790ee4648481c0229c08b6fa  pantalla_0011.png
  c07aed101d02552da33d55378daa235318b25671112f37a8eb665454b9f073be  pantalla_0012.png
  e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855  cambios_disco.tsv
  8acc0013e0274fac20d7c742f0e972dd463f60b1e44feb9c97f09086661c9755  pantalla_0003.png
  bfb7a70234624200887d41b012ff7fc8086c9d7dcb433badfe5b4b2b69112820  cambios_disco.txt
  b69802b213cdf5c778dbef4eb91cc1d3e9986204633bac992ce7be6e208513b8  mbr_disco.txt
  e788a6e15a4c35dc003a639950b10bd72dcc415551227a209a913bd6e8802015  inetsim_report/main_sesion.log
  fbc47639d28c0b8f4f52058e0a09cd10345f4c3cf7cc511761a1d844b2b6220e  pantalla_0009.png
  eef85dedeb46ba5fd37fc2d029f3433a32b071b96329e05f5a8e9b37c3c45c65  pantalla_0006.png
  296d887f88ddc83f3e99448e6287333957593ae0325c5a6cb831757a439a6dd7  pantalla_0008.png
  2a81c79f3f5457d39222b9b5b5cc971e2c6dea09632b3a5cda12ab2aed87f042  pantallas.txt
  88504bdef29d85cfc5c28239fe92c1724ec3fc27d3732fd6bf593bc5ba62e53b  pantalla_0014.png
  567834681e9a44f343009c6e130246008c415d69b1a8601be829d0d18d04a677  pantalla_0004.png
  c1f015099e9cc40013af70d50a13d66ab225f1b4bcfebfad1ee3d851cc8c0376  sectores_escritos.txt
  4527d3db9091675b95264c5eb1740279b7d3fa85647dad8f1febcc1814cdcde6  pantalla_0002.png
  e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855  dns_iocs.log
  dc32f38dc75f5297ad27499f78cdcca334f5e9b3036f00fdfe7522fe981d4c9c  memoria_invitado.txt

Llevarse este informe

El informe se puede descargar para archivarlo o adjuntarlo. En texto se lee en cualquier sitio; en JSON va el registro tal como se guardó, con su manifiesto de custodia, que es el formato útil para auditarlo más tarde.

Descargar en texto (.txt) Descargar en JSON (.json)