Análisis dinámico

El análisis dinámico ejecuta el malware en un entorno controlado y observa su comportamiento: archivos creados, cambios en el registro, procesos iniciados y tráfico de red.

Revela lo que la muestra hace realmente, incluido el comportamiento que el empaquetado oculta al análisis estático.

Ejecute malware únicamente en un sandbox aislado: una máquina virtual con un snapshot limpio al que pueda volver.

Use una red exclusiva del host o una red simulada para impedir que el malware acceda a Internet o a sus sistemas reales. No analice nunca malware en una máquina conectada a una red de producción.

Antes de detonar la muestra, cree un snapshot limpio de la VM. Después del análisis, vuelva a él para eliminar cualquier cambio realizado por el malware.

Así podrá ejecutar la muestra repetidamente desde un estado inicial idéntico.

Procmon (Process Monitor) registra en tiempo real la actividad de archivos, del registro y de los procesos. Filtrar por el nombre del proceso de la muestra muestra exactamente qué elementos toca.

Esto revela archivos depositados, claves del registro creadas y mecanismos de persistencia.

Process Explorer y Process Hacker muestran los procesos en ejecución, las relaciones entre procesos padre e hijo y los hilos inyectados.

El malware suele iniciar procesos secundarios o inyectarse en procesos legítimos como explorer.exe para ocultarse.

Use Wireshark para capturar tráfico y INetSim o FakeNet-NG para simular servicios de Internet. El malware cree que ha llegado a su servidor, mientras usted registra las solicitudes de forma segura.

Esto deja al descubierto dominios de mando y control, beacons e intentos de exfiltración.

Mediante el análisis dinámico, recopila Indicadores de compromiso (IOC):

• Hashes de archivos y nombres de archivos depositados.
• Claves del registro utilizadas para la persistencia.
• Dominios y direcciones IP de C2.
• Nombres de mutex.

Los IOC ayudan a los defensores a detectar y bloquear la amenaza.

Observe cómo sobrevive el malware a los reinicios. Entre los métodos habituales se incluyen:

• Claves Run del registro.
• Tareas programadas.
• Servicios.
• Entradas en la carpeta de inicio.

La ubicación de persistencia es un IOC de gran valor y un objetivo prioritario de eliminación.

El malware sofisticado detecta los sandboxes y se niega a ejecutarse. Puede comprobar la existencia de artefactos de una VM, un tiempo de actividad reducido, pocos núcleos de CPU o un depurador.

Algunas muestras retrasan la ejecución o requieren interacción del usuario. Reconocer estas técnicas de evasión forma parte del análisis dinámico.

Herramientas como Cuckoo Sandbox y servicios en línea (Any.Run, Hybrid Analysis) automatizan la detonación y generan informes de comportamiento.

Aceleran la clasificación inicial, pero un análisis manual cuidadoso sigue detectando lo que la automatización pasa por alto, especialmente en muestras evasivas.

El análisis estático y el dinámico se complementan. El trabajo estático revela capacidades y proporciona indicios; el dinámico confirma qué se ejecuta realmente.

Normalmente, el analista alterna entre ambos: una cadena encontrada estáticamente orienta qué observar dinámicamente, y el comportamiento observado señala el código que debe leerse en el desensamblador.

Recuerde el paso de seguridad clave antes de detonar malware.

Ahora comprende el análisis dinámico de malware:

• Ejecute la muestra en una VM aislada con un snapshot limpio y una red simulada.
• Supervise con Procmon, Process Explorer y Wireshark + INetSim.
• Recopile IOC e identifique mecanismos de persistencia.
• Preste atención a las técnicas de evasión contra el análisis.

A continuación leerá el propio código mediante desensamblado.