Fundamentos de análisis de malware

Trabaja con seguridad primero

• Usa un entorno de análisis aislado: una máquina virtual con snapshots, sin carpetas compartidas, sin conexión a la red corporativa y con un internet host-only o simulado.
• Nunca analices en tu máquina de uso diario ni en un sistema que guarde credenciales.
• Trata toda muestra como activa. Renómbrala para que no pueda ejecutarse por accidente y guárdala en un archivo comprimido cifrado.
• No subas una muestra sensible a un servicio público si puede contener datos de tu empresa; consulta primero el hash.
• Ten autoridad y una razón para analizarla, y sigue las reglas de tu organización sobre el manejo de malware.

Triaje y análisis estático

file sample.bin                              # ¿qué tipo de archivo es?
sha256sum sample.bin                         # identidad: consulta este hash antes que nada
strings -n 8 sample.bin | less               # strings legibles: URLs, rutas, comandos, mensajes de error
strings -el -n 8 sample.bin | less           # strings UTF-16 (comunes en binarios de Windows)
# para ejecutables de Windows, revisa imports y secciones con una herramienta de PE (pefile, DIE)
# señales sospechosas: secciones empaquetadas con alta entropía, pocos imports, imports para inyección de procesos

Análisis dinámico

• Ejecuta la muestra en el laboratorio aislado con monitoreo: creación de procesos, cambios en archivos y registro, tráfico de red y mecanismos de persistencia.
• Una sandbox (CAPE, ANY.RUN o una interna) automatiza esto y produce un informe de comportamiento; léelo con espíritu crítico, ya que las muestras pueden detectar sandboxes y permanecer inactivas.
• Simula internet (FakeNet-NG, INetSim) para ver el tráfico que la muestra intenta generar sin dejar que llegue al internet real.
• Haz un snapshot antes de ejecutar y revierte después, siempre.
• Los desensambladores y decompiladores (Ghidra, IDA) son el siguiente paso cuando el comportamiento por sí solo no responde la pregunta.

Del análisis a la defensa

rule Example_Process_Injector
{
  meta:
    description = "Ejecutable de Windows que importa APIs clásicas de inyección de procesos"
    author      = "analyst"
    reference   = "INC-2026-0142"
  strings:
    $mz = { 4D 5A }
    $a1 = "VirtualAllocEx" ascii
    $a2 = "WriteProcessMemory" ascii
    $a3 = "CreateRemoteThread" ascii
  condition:
    $mz at 0 and all of ($a*)
}

Qué reportar

• Identidad: hashes, tipo de archivo, tamaño, fecha de primera aparición y cualquier nombre de familia conocido.
• Comportamiento: qué hace en el sistema, cómo persiste, con qué se comunica, qué roba o cambia.
• Indicadores: artefactos de red, de archivo y de registro, con un nivel de confianza y una caducidad.
• Detecciones: reglas YARA o Sigma, y cómo se probaron en busca de falsos positivos.
• Remediación: cómo encontrar los sistemas afectados y cómo eliminar la infección y la persistencia de forma segura.