Dos muestras comparten el mismo imphash. ¿Se puede concluir que pertenecen a la misma familia de malware?

El imphash se usa mucho para agrupar muestras PE, y la trampa de entrevista es tratar una coincidencia como atribución.

Qué es un imphash

Mandiant describe crear «un hash basado en los nombres de bibliotecas/API y su orden específico en el ejecutable». Los nombres se pasan a minúsculas, se resuelven los ordinales, se quitan las extensiones de los módulos y la lista ordenada se hashea con MD5. La función está en la biblioteca pefile como get_imphash().

Por qué funciona

El enlazador construye la tabla de direcciones de importación en un orden que depende del código fuente y la compilación; según Mandiant, archivos con el mismo imphash «tienen la misma IAT, lo que implica que se compilaron desde el mismo código fuente y de la misma manera». Sirve para pivotar a muestras relacionadas y seguir backdoors en el tiempo.

Por qué no es prueba

El mismo artículo advierte que los archivos coincidentes «no se garantiza que procedan del mismo grupo», por ejemplo si se comparte un builder. En muestras empaquetadas o utilidades simples con pocas importaciones, el valor puede no ser lo bastante único para atribuir. Los atacantes también pueden cambiar el orden del código o del enlazado, o modificar el hash.

Por qué los distractores tientan

«Mismo código, mismo grupo» sobreinterpreta la fuente. «Idéntico byte a byte» lo confunde con un hash de archivo.

Lo que buscan los entrevistadores

«Una pista fuerte de agrupación, nunca evidencia única: corrobora con código, infraestructura y comportamiento.»