Cómo se analiza el malware

## [01] análisis estático

Examinar la muestra sin ejecutarla: seguro y rápido, aunque el empaquetado y el cifrado pueden ocultar lo importante.

• Identificarla con funciones hash: SHA-256 para buscarla en VirusTotal, y hashes difusos (ssdeep) o imphash para agrupar variantes de una misma familia.
• Extraer las cadenas de texto (strings): URLs, rutas, mensajes, claves y nombres de mutex.
• Inspeccionar la estructura del ejecutable: cabeceras y secciones PE/ELF y la tabla de importaciones (IAT), que adelanta qué APIs usará.
• Medir la entropía de las secciones: un valor alto delata empaquetado o cifrado.
• Clasificar por familia con reglas YARA y desensamblar el código para una primera lectura.

## [02] análisis dinámico (sandbox)

Ejecutar la muestra en un entorno aislado y observar su comportamiento real.

• Registrar la actividad de procesos, ficheros y claves de registro que crea o modifica.
• Capturar el tráfico de red con una red simulada (INetSim/FakeNet): así se observa el contacto con el C2, las descargas y la exfiltración sin dar salida real a Internet.
• Detectar los mecanismos de persistencia (arranque, tareas programadas) y de evasión.
• Analizar la memoria del sistema (Volatility) para recuperar código ya desempaquetado y artefactos que no tocan el disco.
• Todo en una máquina virtual desechable que se revierte a un estado limpio tras cada ejecución.

## [03] ingeniería inversa (análisis de código)

Reconstruir la lógica interna cuando el comportamiento observado no basta.

• Leer el código con desensambladores y decompiladores (Ghidra, IDA, radare2/Cutter) y seguir su ejecución con depuradores (x64dbg, GDB).
• Desempaquetar y descifrar las capas de ofuscación hasta llegar al código real.
• Entender sus algoritmos: el cifrado del ransomware, la generación de dominios (DGA) o el protocolo de C2.
• Vencer las técnicas anti-análisis: detección de máquinas virtuales, comprobación de depuradores y retardos de activación.

## entorno seguro

[ defensa en profundidad ]
 - VM desechable que se revierte tras cada ejecución
 - red simulada (INetSim), sin salida a Internet real
 - separación zona limpia / zona de detonación
 - al usuario: SOLO resultados, nunca la muestra

> detalle del modelo en acerca de.

## salida (qué se obtiene)

• Indicadores de compromiso (IOCs): hashes, dominios, IPs, mutexes y reglas YARA para detectarlo en otros equipos.
• Firmas de red (Snort/Suricata) que reconocen su tráfico de mando y control cuando circula por la red.
• Un informe con el comportamiento observado, un veredicto y la clasificación por familia.
• El mapeo de sus técnicas al marco MITRE ATT&CK (tácticas y TTPs), lenguaje común entre defensores.
• Material pregrabado seguro: vídeo y capturas de la ejecución; nunca la muestra.

## herramientas

> más en la biblioteca.