Análisis de Strings en Software Malicioso con DNS Spy

Curso de Introducción al Análisis de Malware

Contenido del curso

Introducción

1
Análisis de Malware: Conceptos y Técnicas Básicas
01:42 min

Entendiendo el mundo del Malware

Ingeniería Reversa

PE Análisis

Unpacking

Siguientes pasos

18
Análisis de Malware: Fundamentos y Técnicas Básicas
01:48 min

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:008:26

Análisis de Strings en Software Malicioso con DNS Spy

Curso de Introducción al Análisis de Malware

Clase 16 de 18

Clase 16 / 18

Recursos

¿Por qué buscar los strings en un programa?

Después de realizar análisis estáticos y dinámicos, es esencial investigar los strings de nuestro programa para obtener pistas sobre su funcionamiento. Un "string" es cualquier secuencia de caracteres en el código, y al examinar estos podemos descubrir datos únicos o adicionales sobre el software. Esto puede incluir desde mensajes de error hasta direcciones IP o rutas de archivos que podrían ser clandestinas o relacionadas con actividades maliciosas.

¿Cómo encontrar y analizar strings utilizando DNS Spy?

Acceder al programa: Inicia DNS Spy y abre tu archivo compilado.
Buscar los strings: Navega a la sección donde se listan todas las cadenas y variables del programa.
Análisis de la información: Observa detalles como la carga de drivers, uso de librerías DLL y variables con codificación sospechosa como Base64.

Al analizar strings como estos puedes determinar componentes del sistema, cargadores de malware, o infraestructura de comando y control.

// Ejemplo de un string codificado
string encodedString = "U29mdHdhcmUgRW5naW5lZXJpbmc="

¿Cómo interpretar las direcciones IP y otras referencias?

Examinando strings como direcciones IP almacenadas en el programa, podemos buscar dicha IP en bases de datos de seguridad como VirusTotal. Aquí se pueden obtener detalles sobre si se ha reconocido como maliciosa.

Verificación en VirusTotal: Busca la IP para verificar su reputación.
Información de seguridad: Determina si está etiquetada por seguridad, antispywares o sistemas IDS.
Relaciones y conexiones maliciosas: Revisa si existen archivos maliciosos asociados a la IP.

Este procedimiento puede corroborar vínculos con organizaciones o grupos específicos como APT41, indicando actividad de amenazas sofisticadas.

¿Cómo usar herramientas especializadas como Cyber Chef?

Si encuentras strings cifrados en Base64, puedes utilizar herramientas como Cyber Chef para decodificarlos:

Decodificación en Cyber Chef: Transforma el string de Base64 a texto común usando las recetas incluidas en la herramienta.

// Ejemplo de uso de Cyber Chef para decodificación
Input: "U29mdHdhcmUgRW5naW5lZXJpbmc="
Output: "Software Engineering"

Algunas veces, esto puede no revelar información concluyente, pero es un paso crucial para piece together información de interés.

¿Qué otros insights se pueden obtener mediante la investigación de strings?

Identificar rutas en el programa: Observa dónde se utilizan en la estructura del programa para saber más sobre su función.
Detección de intentos de crear objetos o bypass de seguridad: Investiga la creación de objetos "computer" o esfuerzos por evadir firewalls.
Comparte tus hallazgos: Publica en foros o comunidades para compartir y evaluar tus observaciones.

Este enfoque múltiple no solo desentraña el comportamiento del software, sino que también abre una nueva visión de cómo combinar técnicas de análisis para afrontar amenazas digitales.

Comentarios (8)8 comentarios

Rene Reynaldo Luque Puma

Hace 4 años

La IP se ubica en la Republica de Moldavia

Jorge Castillo

Esta página también da reputación a las ip's en base a su comportamiento https://www.abuseipdb.com/

David Zhou Yang

Con una búsqueda rápida en Google sobre el cve y el grupo apt41 he encontrado este reporte de palo alto https://unit42.paloaltonetworks.com/apt41-using-new-speculoos-backdoor-to-target-organizations-globally/

Manuel Rodríguez

Comparto mis capturas:

Moises Hernandez

Hace 5 años

Usando los dorks de google, puede que nos faciliten la búsqueda. Lista 2021 dorks google

Zally hg

Profesor

Muy buena recomendación! Gracias!!

Más recursos para buscar en Google https://codinginflow.com/google-programming-questions https://www.makeuseof.com/tag/best-google-search-tips-pdf/

Edwin Alfredo García

Hace 18 días

El análisis de strings es una técnica importante dentro del análisis de malware porque permite encontrar información relevante sin necesidad de ejecutar el programa. Las cadenas pueden revelar mensajes, rutas de archivos, nombres de DLL, direcciones IP, dominios, comandos o datos codificados que aportan pistas sobre el comportamiento del malware. Herramientas como dnSpy permiten revisar estas cadenas en aplicaciones .NET, mientras que herramientas como CyberChef pueden ayudar a interpretar datos codificados, por ejemplo en Base64. Las direcciones IP y dominios encontrados también pueden compararse con fuentes de inteligencia como VirusTotal para obtener contexto y posibles indicadores de compromiso. En conjunto, los strings ayudan a relacionar diferentes componentes del malware y orientar las siguientes etapas de investigación.

Mario Danilo Serna Proaño

Hace 2 meses

PLatzi una de las mejores herramientas , de estudio que nos a ayudado a seguir aprendiendo de esta interesante Materia.

Alfredo Olmedo

Hace 3 años

También pueden ir a Archive que es una pagina con historicos

Introducción

Análisis de Malware: Conceptos y Técnicas Básicas

Entendiendo el mundo del Malware

Conceptos básicos de malware y sus variantes principales

Amenazas Persistentes Avanzadas: Grupos Criminales y Ejemplos Reales

Análisis de Malware: Técnicas y Mentalidad en Ciberseguridad

Ingeniería Reversa

Gestión de Memoria en Sistemas Operativos para Análisis de Malware

Ingeniería Reversa y Ensamblador en C para Análisis de Malware

PE Análisis

Análisis de Malware del Grupo Criminal APT41

Análisis Estático de Malware: Técnicas y Herramientas Básicas y Avanzadas

Obtención y Uso de Hashes para Análisis de Malware

Análisis de Hashes de Malware en VirusTotal y Anyron

Unpacking

Análisis Estático de Software Malicioso con DNS Spy

Debugging y Establecimiento de Puntos de Ruptura en DNSpy

Análisis Estático de Binarios Obfuscados en PIFile

Análisis Dinámico de Tráfico de Red con WildShark

Análisis Dinámico de Malware: Conceptos y Herramientas Básicas

Análisis de Strings en Software Malicioso con DNS Spy

Creación de Reglas Yara para Detección de Malware APT41

Siguientes pasos

Análisis de Malware: Fundamentos y Técnicas Básicas

Análisis de Strings en Software Malicioso con DNS Spy

Progreso del curso

Introducción

Entendiendo el mundo del Malware

Ingeniería Reversa

PE Análisis

Unpacking

Siguientes pasos

Recursos

Recursos