Análisis Dinámico de Malware: Conceptos y Herramientas Básicas

Curso de Introducción al Análisis de Malware

Contenido del curso

Introducción

1
Análisis de Malware: Conceptos y Técnicas Básicas
01:42 min

Entendiendo el mundo del Malware

Ingeniería Reversa

PE Análisis

Unpacking

Siguientes pasos

18
Análisis de Malware: Fundamentos y Técnicas Básicas
01:48 min

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:005:44

Análisis Dinámico de Malware: Conceptos y Herramientas Básicas

Curso de Introducción al Análisis de Malware

Clase 15 de 18

Clase 15 / 18

Recursos

Comprender cómo se comporta un malware una vez que se ejecuta es la clave para producir defensas efectivas. El análisis dinámico permite observar en tiempo real las acciones de un programa malicioso sobre el sistema y la red, lo que abre la puerta a la creación de reglas y firmas que protejan la infraestructura. A continuación se desglosan los conceptos, herramientas y comportamientos más relevantes que surgen al estudiar malware en ejecución.

¿Qué es el análisis dinámico de malware básico?

El análisis dinámico básico consiste en ejecutar el malware dentro de un entorno controlado y observar su comportamiento [0:20]. En la práctica, esto implica capturar tráfico de red con herramientas como Wireshark para identificar conexiones sospechosas, como una IP maliciosa o un intento de establecer una conexión TCP.

Una vez identificada esa información, es posible producir firmas o establecer reglas de seguridad [0:42]. Por ejemplo, si se detecta que el malware intenta comunicarse con una IP específica, se puede crear una regla en el firewall que bloquee cualquier conexión saliente hacia esa dirección.

¿Por qué es indispensable un ambiente aislado?

Antes de ejecutar cualquier muestra, se debe configurar un ambiente seguro y aislado [0:56]. Si el malware se ejecuta en un sistema conectado a una red compartida, existe el riesgo de infectar no solo la máquina local, sino también a todos los dispositivos conectados a esa misma red.

¿Qué diferencia al análisis dinámico avanzado del básico?

La diferencia principal radica en el uso de un debugger [1:15]. Mientras que el análisis básico se limita a observar el comportamiento externo —tráfico de red, cambios visibles—, el análisis avanzado permite inspeccionar el malware instrucción por instrucción, extrayendo información que solo se revela al profundizar en la ejecución interna del código.

Las técnicas avanzadas proveen otras maneras de extraer información cuando ya se busca algo en específico [1:50].
El análisis estático previo es un gran aliado, porque ayuda a entender la arquitectura, las intenciones y los mecanismos del malware antes de ejecutarlo.

¿Qué comportamientos típicos buscar al analizar malware?

Cuando ya se tiene contexto —por ejemplo, que se trata de un troyano de acceso remoto (RAT) con arquitectura Windows de 32 bits que utiliza un ofuscador [2:12]—, se pueden buscar comportamientos específicos:

Modificación del sistema de archivos: el malware intenta obtener permisos de administrador para realizar acciones que un programa normal no podría ejecutar [2:38].
Modificación de registros de Windows: se alteran configuraciones del sistema, incluyendo la configuración del firewall para poder bypassearlo [2:50].
Carga de drivers: otro mecanismo para obtener control profundo sobre el sistema operativo [3:12].
Acciones sobre la red: conexiones TCP salientes, comunicación con IPs externas y otros indicadores de compromiso que herramientas como Wireshark permiten capturar [3:18].

¿Cuáles son las herramientas recomendadas para análisis de malware?

Existen múltiples herramientas, y la elección depende del nivel de experiencia, los recursos disponibles y la preferencia personal [3:30]:

Cuckoo Sandbox: disponible en versión gratuita en línea, versión de paga y versión local [3:48]. La recomendación es configurar la sandbox de manera local para evitar subir archivos maliciosos a repositorios públicos.
Ghidra: herramienta gratuita de ingeniería inversa desarrollada por la NSA.
RADAR2 (Radare2): potente herramienta basada en terminal, ideal para quienes se sienten cómodos con la línea de comandos.
IDA Pro: opción de paga, considerada un estándar en la industria.
Windows Sysinternals: conjunto de utilidades para monitorear procesos, registros y actividad del sistema en entornos Windows.

Todas cumplen con el mismo propósito: extraer la mayor cantidad de información posible del malware. Lo ideal es probar varias y quedarse con la que resulte más cómoda según el flujo de trabajo personal.

El siguiente paso natural tras este análisis es investigar la reputación de la IP identificada y aprovechar los streams encontrados, incluyendo datos codificados en base64, puertos y otros indicadores que hacen único al malware [4:20]. ¿Ya has probado alguna de estas herramientas? Comparte tu experiencia y qué técnica te ha resultado más útil.

Introducción

Análisis de Malware: Conceptos y Técnicas Básicas

Entendiendo el mundo del Malware

Conceptos básicos de malware y sus variantes principales

Amenazas Persistentes Avanzadas: Grupos Criminales y Ejemplos Reales

Análisis de Malware: Técnicas y Mentalidad en Ciberseguridad

Ingeniería Reversa

Gestión de Memoria en Sistemas Operativos para Análisis de Malware

Ingeniería Reversa y Ensamblador en C para Análisis de Malware

PE Análisis

Análisis de Malware del Grupo Criminal APT41

Análisis Estático de Malware: Técnicas y Herramientas Básicas y Avanzadas

Obtención y Uso de Hashes para Análisis de Malware

Análisis de Hashes de Malware en VirusTotal y Anyron

Unpacking

Análisis Estático de Software Malicioso con DNS Spy

Debugging y Establecimiento de Puntos de Ruptura en DNSpy

Análisis Estático de Binarios Obfuscados en PIFile

Análisis Dinámico de Tráfico de Red con WildShark

Análisis Dinámico de Malware: Conceptos y Herramientas Básicas

Análisis de Strings en Software Malicioso con DNS Spy

Creación de Reglas Yara para Detección de Malware APT41

Siguientes pasos

Análisis de Malware: Fundamentos y Técnicas Básicas

Análisis Dinámico de Malware: Conceptos y Herramientas Básicas

Progreso del curso

Introducción

Entendiendo el mundo del Malware

Ingeniería Reversa

PE Análisis

Unpacking

Siguientes pasos

Recursos

Recursos