Análisis estático

El análisis estático examina una muestra de malware sin ejecutarla. Se inspeccionan el contenido, la estructura y los metadatos del archivo para saber qué podría hacer.

Es más seguro que ejecutar código desconocido y normalmente es el primer paso en cualquier investigación de malware.

Incluso el análisis estático debe realizarse en un entorno aislado: una VM dedicada al análisis, sin datos confidenciales e, idealmente, con la red desactivada.

No analice nunca malware en su máquina principal. Una ejecución accidental o un archivo comprimido malicioso podrían comprometerla.

Primero, calcule el hash del archivo (MD5, SHA-1, SHA-256). El hash es una huella digital que se utiliza para identificar la muestra y buscarla en bases de datos de inteligencia de amenazas.

Enviar únicamente el hash a VirusTotal evita cargar la muestra.

El comando strings extrae texto imprimible de un binario. Puede revelar URL, direcciones IP, rutas de archivos, claves del registro y mensajes de error.

Estos artefactos dan pistas sobre las capacidades del malware y su infraestructura de mando y control.

No confíe en la extensión del archivo. Use file (e inspeccione los bytes mágicos) para confirmar el formato real.

Un ejecutable de Windows comienza con MZ (el formato PE), mientras que un binario ELF de Linux comienza con 0x7F ELF. Conocer el tipo orienta el resto del análisis.

Los ejecutables de Windows utilizan el formato Portable Executable (PE). Las cabeceras describen las secciones, el punto de entrada y las marcas de tiempo.

Herramientas como PEview, pefile o PE-bear analizan esta estructura por usted.

La Import Address Table (IAT) enumera las funciones de API que el programa llama desde otras DLL. Es una de las fuentes más valiosas de indicios sobre su comportamiento.

Importaciones como InternetOpenUrl, CreateProcess o RegSetValue sugieren actividad de red, ejecución y persistencia.

Los archivos PE se dividen en secciones, como .text (código), .data y .rsrc (recursos).

Una entropía alta en una sección suele indicar empaquetado o cifrado, lo que sugiere que el código real está oculto hasta el tiempo de ejecución.

Si una muestra contiene muy pocas cadenas legibles y casi ninguna importación, probablemente está empaquetada. El malware empaquetado se desempaqueta en memoria durante el tiempo de ejecución.

Esto indica que el análisis estático por sí solo no lo revelará todo; más adelante necesitará análisis dinámico y desempaquetado.

Las reglas de YARA describen patrones de cadenas o bytes para clasificar y detectar familias de malware. Ejecutar una muestra contra un conjunto de reglas puede identificar rápidamente amenazas conocidas.

Los analistas también escriben reglas personalizadas a partir de los artefactos que encuentran durante el análisis estático.

Durante todo el análisis estático, registre cada artefacto: hashes, cadenas sospechosas, importaciones y anomalías en las secciones. Estos elementos se convierten en IOC y orientan los pasos siguientes.

Unas buenas notas también permiten relacionar la muestra con familias conocidas y evitar repetir el trabajo si vuelve a analizarla más adelante.

Recuerde qué suele indicar una entropía alta en una sección.

Ahora comprende el análisis estático de malware:

• Examine una muestra sin ejecutarla, en una VM aislada.
• Calcule hashes, extraiga cadenas y confirme el tipo de archivo.
• Analice las cabeceras PE, las importaciones (IAT) y las secciones; una entropía alta sugiere empaquetado.
• Use YARA para clasificar familias conocidas.

A continuación observará el comportamiento del malware mediante análisis dinámico.