Análisis de malware 101: cómo examinar archivos maliciosos de forma segura

¿Por qué analizar malware?

El análisis de malware es el proceso de diseccionar software malicioso para entender qué hace, cómo se propaga, con qué se comunica y qué daño puede causar. Esta información alimenta directamente la respuesta a incidentes (¿qué sistemas están afectados?), la inteligencia de amenazas (¿es un actor conocido?) y la ingeniería de detección (¿cómo escribimos una firma para atraparlo en el futuro?).

No necesita realizar ingeniería inversa de cada byte para producir un análisis valioso. Saber ejecutar una muestra de forma segura, observar su comportamiento y extraer indicadores de compromiso (IOC) —dominios, IP, hashes de archivos, claves de registro— es una habilidad práctica que los no especialistas pueden desarrollar.

Preparar un entorno de análisis seguro

Este es el paso más crítico. Nunca analice malware en su máquina principal ni en su red de producción. Una configuración de aislamiento adecuada requiere:

• Una máquina virtual dedicada (VMware o VirtualBox) con instantáneas (snapshots) habilitadas. Vuelva siempre a una instantánea limpia después de cada sesión de análisis.
• El adaptador de red de la máquina virtual configurado en modo solo-anfitrión (host-only) o de red aislada. Nunca lo conecte en puente a su LAN real.
• Un sistema operativo de análisis separado: Windows 10/11 es ideal, ya que la mayoría del malware apunta a Windows. Use una copia con licencia específicamente para el análisis.
• Desactive las carpetas compartidas y el uso compartido del portapapeles entre el anfitrión y el invitado; algunos malware buscan activamente estos canales para escapar de la máquina virtual.
• Considere una máquina de análisis dedicada que esté físicamente aislada si trabaja con muestras especialmente sofisticadas.

Herramientas como REMnux (una distribución de análisis basada en Linux) y FLARE VM (un entorno de análisis en Windows de Mandiant) vienen precargadas con herramientas de análisis y son la forma más rápida de empezar.

Análisis estático: examinar sin ejecutar

El análisis estático examina el archivo de malware sin ejecutarlo. Empiece aquí: es seguro y a menudo revela mucho.

Identificación de archivos y cálculo de hash

Antes que nada, calcule el hash del archivo:

sha256sum suspicious_file.exe

Busque el hash en VirusTotal, Malware Bazaar o Hybrid Analysis. Si es una muestra conocida, obtendrá de inmediato el nombre de la familia, informes de comportamiento y análisis previos. El hash también sirve como su IOC principal para las reglas de detección.

Use file en Linux o PEiD/Detect-It-Easy en Windows para identificar el tipo de archivo. El malware suele usar extensiones engañosas: un .pdf podría ser en realidad un ejecutable PE.

Extracción de cadenas

Ejecutar strings sobre un binario extrae todas las secuencias de caracteres imprimibles. A menudo encontrará:

• Nombres de dominio y direcciones IP codificados (infraestructura de C2)
• Rutas de archivo y claves de registro con las que interactúa el malware
• Mensajes de error que revelan el idioma o el entorno del desarrollador
• Claves de cifrado o datos de configuración

strings -n 8 malware.exe | grep -Ei 'http|cmd|reg|powershell'

Análisis de la cabecera PE

Para los ejecutables de Windows, herramientas como PE-bear, CFF Explorer o la biblioteca pefile de Python revelan la tabla de importaciones (qué funciones de la API de Windows llama el binario), los nombres de las secciones y su entropía (una entropía alta sugiere empaquetado/cifrado), las marcas de tiempo de compilación y los recursos incrustados. Un binario que importa CreateRemoteThread, VirtualAllocEx y WriteProcessMemory casi con seguridad está realizando inyección de procesos.

Análisis dinámico: observar el malware en ejecución

El análisis dinámico ejecuta la muestra en su máquina virtual aislada mientras supervisa su comportamiento. Configure los monitores antes de ejecutar la muestra:

• Process Monitor (Procmon): registra cada evento de archivo, registro y red por proceso
• Wireshark: captura todo el tráfico de red
• Process Hacker: muestra los procesos en ejecución, los hilos inyectados y los módulos cargados
• Regshot: toma instantáneas del registro antes y después de la ejecución para comparar las diferencias

Ejecute la muestra, espere de 2 a 5 minutos y luego revise lo que ha capturado. Preguntas clave:

1. ¿Qué procesos creó o en cuáles se inyectó?
2. ¿Qué archivos creó, modificó o eliminó?
3. ¿Qué claves de registro estableció (mecanismos de persistencia)?
4. ¿Qué conexiones de red intentó: dominios, IP, puertos, protocolos?
5. ¿Intentó desactivar herramientas de seguridad o modificar el Firewall de Windows?

Sandboxes automatizados

Para una clasificación rápida, envíe la muestra a un sandbox automatizado:

• Any.run (interactivo, basado en navegador)
• Hybrid Analysis (gratuito, impulsado por CrowdStrike Falcon Sandbox)
• Joe Sandbox (informes detallados)
• Cuckoo Sandbox (autoalojado, de código abierto)

Los sandboxes automatizan el flujo de trabajo del análisis dinámico y producen informes estructurados con IOC, correlaciones con MITRE ATT&CK y capturas de red, a menudo en cuestión de minutos. Su limitación es que el malware sofisticado detecta activamente los entornos de sandbox (comprobando nombres de usuario inusuales, un tiempo de actividad mínimo, artefactos de máquina virtual) y permanece inactivo para evadir la detección.

Extraer indicadores de compromiso

El resultado práctico del análisis de malware es un conjunto de IOC para la detección y el bloqueo:

• Hashes de archivos (MD5, SHA-256) para firmas de AV/EDR
• Nombres de dominio e IP para sinkholes de DNS y bloqueos de cortafuegos
• URL para el bloqueo mediante proxy web
• Claves de registro para reglas de detección
• Nombres de mutex (el malware suele crear mutex para evitar la doble infección; estos son excelentes IOC)
• Reglas YARA para la detección basada en patrones en colecciones de archivos

Documente todo en un formato estructurado (STIX/TAXII si lo comparte con la comunidad) y comparta los hallazgos en plataformas como MISP u OpenCTI para beneficiar a la comunidad de seguridad en general.