Análisis dinámico en un sandbox

El análisis dinámico ejecuta malware en un entorno controlado para observar su comportamiento real: los archivos creados, las claves del registro modificadas, las conexiones de red establecidas y los procesos generados. Revela lo que el análisis estático no puede mostrar.

Un sandbox envuelve el sistema operativo con hooks de monitorización que interceptan las llamadas al sistema. Los registros de comportamiento capturan cada evento de archivos, registro, red y procesos. Sandboxes populares: Any.run (interactivo), Cuckoo (autohospedado) y Joe Sandbox.

Utilice VMware o VirtualBox con una red de solo host o una VLAN dedicada. Tome una instantánea limpia antes de ejecutar muestras. Nunca conecte su máquina virtual de análisis a redes de producción: el malware podría intentar realizar movimiento lateral.

Envíe la muestra, obsérvela en una máquina virtual interactiva en tiempo real y descargue el informe completo de comportamiento. Any.run resalta automáticamente los indicadores de red, los árboles de procesos, los archivos depositados y las etiquetas de técnicas de MITRE ATT&CK.

El árbol de procesos muestra las relaciones entre procesos principales y secundarios. Ver que word.exe genere powershell.exe y este genere cmd.exe indica un dropper basado en macros. Los procesos secundarios inesperados son un indicador clave de compromiso.

Las capturas de red del sandbox muestran consultas DNS (resolución del dominio de C2), beaconing HTTP/S y exfiltración de datos. Observe las IP de destino, los puertos, las cadenas de User-Agent y los patrones de URI: todos se convierten en IOC de red.

El malware suele depositar cargas útiles en %TEMP%, %APPDATA% o directorios del sistema. Puede sustituir binarios legítimos (secuestro de DLL) o añadir scripts de persistencia. Supervise cuidadosamente los archivos creados, modificados y eliminados.

La persistencia mediante claves Run (HKCU\Software\Microsoft\Windows\CurrentVersion\Run), la instalación de servicios (HKLM\SYSTEM\CurrentControlSet\Services) y el secuestro de COM aparecen como eventos del registro en los logs del sandbox.

Cuckoo se ejecuta en Linux y administra máquinas virtuales Windows como huéspedes de análisis. La API REST acepta muestras, devuelve informes JSON y se integra con plataformas de inteligencia de amenazas. Los módulos personalizables capturan volcados de memoria y capturas PCAP de red.

El malware sofisticado busca artefactos del sandbox: un recuento bajo de procesos, ausencia de movimiento del ratón, claves del registro de la máquina virtual (VMware Tools), patrones específicos de nombres de usuario o un tiempo de actividad breve. Utilice hardware real o sandboxes de ejecución prolongada para frustrar la evasión.

El análisis dinámico confirma lo que sugería el análisis estático. Si el análisis estático detectó importaciones sospechosas, el análisis dinámico muestra si realmente se llamaron y con qué parámetros, lo que permite crear un perfil de comportamiento completo.

¿Qué registra principalmente un sandbox durante el análisis dinámico de malware?

El análisis dinámico ejecuta malware de forma segura en un sandbox aislado para capturar su comportamiento real. Los árboles de procesos, el tráfico de red, los cambios del registro y las operaciones de archivos ofrecen en conjunto una imagen completa de la funcionalidad del malware y sus IOC.