Análisis Estático de Malware: Técnicas y Herramientas Básicas y Avanzadas

Curso de Introducción al Análisis de Malware

Contenido del curso

Introducción

1
Análisis de Malware: Conceptos y Técnicas Básicas
01:42 min

Entendiendo el mundo del Malware

Ingeniería Reversa

PE Análisis

Unpacking

Siguientes pasos

18
Análisis de Malware: Fundamentos y Técnicas Básicas
01:48 min

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:005:44

Análisis Estático de Malware: Técnicas y Herramientas Básicas y Avanzadas

Curso de Introducción al Análisis de Malware

Clase 8 de 18

Clase 8 / 18

Recursos

Antes de ejecutar cualquier software malicioso, existe un paso fundamental que marca la diferencia entre un análisis seguro y una posible infección: el análisis estático. Comprender cómo preparar el entorno, qué técnicas de detección existen y cómo los antivirus identifican amenazas es esencial para cualquier persona que quiera adentrarse en el análisis de malware de forma profesional.

¿Cómo preparar tu entorno seguro antes de analizar malware?

El primer requisito es contar con una máquina virtual correctamente configurada. Todo archivo malicioso debe descargarse y manipularse exclusivamente dentro de tu sandbox, ya que de lo contrario podrías comprometer tus archivos personales y tu sistema operativo principal [00:18].

El archivo malicioso viene comprimido en un zip protegido con contraseña, y para descomprimirlo se recomienda utilizar Seven Zip, ya que el descompresor que viene por defecto en Windows no funciona correctamente con este tipo de archivos protegidos [03:10].

Antes de cualquier ejecución, asegúrate de:

Haber completado la configuración de tu sandbox según las instrucciones previas.
Desactivar o activar los parámetros indicados en la lectura complementaria.
Trabajar siempre dentro del entorno aislado.

¿Qué es el análisis estático y por qué es tan importante?

El análisis estático es una técnica que permite examinar un programa sin ejecutarlo [01:05]. En lugar de correr el malware, se analiza su código desensamblado o disassembly, donde es posible encontrar cadenas de texto, imágenes y otros recursos almacenados en disco.

Existen dos niveles dentro del análisis estático:

Básico: se obtiene el código desensamblado y se revisan sus componentes superficiales [01:35].
Avanzado: se realiza ingeniería inversa al archivo ejecutable utilizando un desensamblador para obtener las instrucciones del programa y descubrir exactamente qué hace [01:45].

No siempre es posible recuperar el código fuente. Cuando el malware es muy sofisticado o completamente nuevo, es necesario leer directamente el código en ensamblador o assembly [02:05]. Sin embargo, en la mayoría de los casos, gracias a herramientas de desensamblado, se puede reconstruir el código fuente y comprender el comportamiento del programa.

Lo que diferencia a un analista básico de uno avanzado es el dominio de los internos de Windows, los conceptos de programación y los fundamentos de Computer Science [02:25]. Estos conocimientos permiten interpretar correctamente lo que el código desensamblado revela.

¿Cómo funcionan los antivirus para detectar amenazas?

Los antivirus protegen de software malicioso mediante dos mecanismos principales [03:30]:

Firmas del archivo: se basan en características específicas del ejecutable, como encabezados, strings, líneas de código, imágenes o texto embebido.
Heurísticas: se enfocan en los comportamientos del malware, por ejemplo, si intenta conectarse a una dirección IP sospechosa.

Un ejemplo claro: el string de una IP dentro del código sería una firma, mientras que el intento de conexión a esa IP sería una heurística [04:05].

Anteriormente, las firmas eran el método más efectivo, pero hoy el malware es polimórfico, lo que significa que muta constantemente y aparecen nuevos ejemplares cada día [04:20]. Por eso, actualmente se prefiere un enfoque híbrido que combine características del archivo con análisis de comportamiento. La combinación de análisis estático y análisis dinámico representa la mejor estrategia de protección ante ataques informáticos.

¿Qué es VirusTotal y cuándo deberías usarlo?

VirusTotal es una sandbox pública de talla mundial donde puedes subir archivos sospechosos como PDFs, documentos Word o cualquier descarga para verificar si contienen código malicioso [04:50]. También permite buscar direcciones IP, hashes y otros indicadores de compromiso.

Sin embargo, existe una recomendación importante: si te enfrentas a un ejemplar nuevo o desconocido, no lo subas a una sandbox pública, ya que podrías comprometer tu investigación [05:20]. VirusTotal es excelente para aprender y para analizar malware ya conocido, gracias a las contribuciones de investigadores de todo el mundo.

El siguiente paso en este proceso es obtener los hashes del archivo malicioso, buscar información sobre ellos en línea y continuar profundizando en el análisis estático. ¿Ya tienes tu sandbox lista para comenzar?

Vidale C.

Hace un año•editado

CONFIGURAR UN SANDBOX

En vista de que solo hay un recurso para la instalación de nuestro sandbox:

Comparto otros puntos a tomar en consideración y recursos que me sirvieron mientras investigaba cómo hacer tu sandbox sin morir en el intento:

- Si tienes la oportunidad, usa una computadora que no necesites. Es decir, usa un equipo que no sea de uso personal, que no sea la del trabajo y donde no conserves cosas relevantes.

- Trabaja en un segmento de red aislado. Esto es para evitar que el virus se llegase a propagar si pasamos por alto una mala configuración.

CONSIDERACIONES DE RED PARA NUESTRO SANDBOX

Cuando vamos a analizar un malware, debemos de proceder con precaución ya que no sabemos si el software tiene replicación, si se puede conectar en red y descargar cosas adicionales, etc. La configuración de red que tomemos, puede depender mucho del contexto pero usualmente es útil que haya una red para ver cómo se comporta el malware:

- RED NAT: Esto lo que nos dice es que la máquina virtual va a compartir la conexión a internet con la máquina física, la máquina host. Con una configuración de IP diferente pero que hay visibilidad.

- RED BRIDGE: Significa que la máquina virtual va a utilizar el mismo adaptador de red, con la misma configuración que la máquina física. En pocas palabras, la máquina virtual tendría el mismo redireccionamiento que la máquina física (la misma IP vaya). A efectos de visibilidad, esto va a ser como una máquina más dentro de la red.

- RED PRIVADA: La red privada viene en todos los hipervisores (Virtualbox, VMWare, etc), en el cual se monta una red virtual la cuál esta aislada a nivel de configuración de red del resto de nuestra configuración IP. No hay visibilidad entre la máquina física y la configuración IP que haya en la máquina virtual.

> Algo que podemos hacer a modo defensivo cuando estamos configurando nuestra sandbox para trabajar con malware es poner en modo NAT la red para configurar todo. Descargar los programas necesarios, hacer las configuraciones necesarias, descargar las pruebas y una vez hecho eso, cambiar a red privada para que no haya conexión a nuestra máquina host o red de solo anfitrión para tener una red virtual aislada sin conexión a Internet.

Otra consideración es que para la cuestión de análisis de malware, el antivirus que trae windows por defecto, el Microsfot Defender, será necesario que lo desactivemos porque esto puede causarnos problemas cuando queremos bajar pruebas de malware.

Dicho lo anterior, estos son los pasos que seguí para configurar mi sandbox.

¿CÓMO CONFIGURAR TU SANDBOX?

Descarga Windows 10 o el que gustes desde la página oficial y crea una imagen ISO:
Crea un alias de correo electrónico y usa este alias para crear tu cuenta de Windows para solo pruebas. Yo he creado una cuenta para solo pruebas porque me di cuenta que si uso la misma cuenta de mi Windows del día a día, corro el riesgo de que algunas configuraciones se repliquen en mi máquina local. ****
Descarga todas las herramientas necesarias.
Toma una snapshot de la máquina virtual.
Baja el exe de Windows defender remover: **** Es un ejecutable que te ayudará a eliminar todas las configuraciones del Windows Defender, ya que estas pueden ocasionar problemas cuando intentamos ejecutar el malware.
Ejecuta el .exe, esto eliminará Windows Defender y reiniciará la máquina virtual.
Toma una snapshot nuevamente.
Con esto ya tenemos nuestro laboratorio montado.
Cambiamos a red privada o red de solo anfitrión para tener una red virtual aislada sin conexión a internet. Dependerá de lo que estes haciendo elegir una u otra.
Listo ahora si podemos abrir las pruebas y hacer análisis en nuestra sandbox.

Comentarios (26)26 comentarios

Alvaro Andres Acosta Merchan

Hace 5 años

juan CORSI

Hace 4 años

David Zhou Yang

Moises Hernandez

Zally hg

Profesor

Javier Ramos

Gustavo Rodolfo Jimenez Jaramillo

Tania Sosa

Juan Camilo Cortes

Diego Alexander Cepeda Salamanca

Antonio De Josè Sànchez Huaracha

Anabel Chavez Berumen

Armando Javier Lozada ALvarez

Hace 8 meses

Ángel Luis Ordieres Regato

Eloy Chávez Dev

Benjamin Núñez Sanza

Cristian Chavez

Hace 2 años

Elian González

Manuel Rodríguez

Edwin Alfredo García

Hace 18 días

Mario Danilo Serna Proaño

Hace 2 meses

Roberto Carlos Moreira España

Ricardo Dario Ferrer

Hace 10 meses

Hace un año

Jeffry Almonte dely

Hace 3 años

Perez Parra Christopher Eugenio

Daniel G. Fernández G.

Introducción

Análisis de Malware: Conceptos y Técnicas Básicas

Entendiendo el mundo del Malware

Conceptos básicos de malware y sus variantes principales

Amenazas Persistentes Avanzadas: Grupos Criminales y Ejemplos Reales

Análisis de Malware: Técnicas y Mentalidad en Ciberseguridad

Ingeniería Reversa

Gestión de Memoria en Sistemas Operativos para Análisis de Malware

Ingeniería Reversa y Ensamblador en C para Análisis de Malware

PE Análisis

Análisis de Malware del Grupo Criminal APT41

Análisis Estático de Malware: Técnicas y Herramientas Básicas y Avanzadas

Obtención y Uso de Hashes para Análisis de Malware

Análisis de Hashes de Malware en VirusTotal y Anyron

Unpacking

Análisis Estático de Software Malicioso con DNS Spy

Debugging y Establecimiento de Puntos de Ruptura en DNSpy

Análisis Estático de Binarios Obfuscados en PIFile

Análisis Dinámico de Tráfico de Red con WildShark

Análisis Dinámico de Malware: Conceptos y Herramientas Básicas

Análisis de Strings en Software Malicioso con DNS Spy

Creación de Reglas Yara para Detección de Malware APT41

Siguientes pasos

Análisis de Malware: Fundamentos y Técnicas Básicas

Análisis Estático de Malware: Técnicas y Herramientas Básicas y Avanzadas

Progreso del curso

Introducción

Entendiendo el mundo del Malware

Ingeniería Reversa

PE Análisis

Unpacking

Siguientes pasos

Recursos

Recursos