> For the complete documentation index, see [llms.txt](https://wiki.linarescorrales.es/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.linarescorrales.es/apuntes/malware.md). # MALWARE El análisis de malware es un proceso en el que los profesionales de ciberseguridad examinan y estudian el software malicioso (malware) para comprender su funcionalidad, comportamiento, origen y posibles métodos de mitigación. El objetivo principal del análisis de malware es descubrir cómo funciona el malware y desarrollar contramedidas efectivas para proteger sistemas y redes contra estas amenazas. Existen dos enfoques principales en el análisis de malware: el análisis estático y el análisis dinámico. ## Análisis Estático El análisis estático es una técnica de evaluación de malware en la que se examina el código y la estructura de un archivo binario sin ejecutar el programa. Es un método crucial en el análisis de malware que proporciona información sobre las características y comportamientos potenciales del malware antes de que se ejecute en un entorno real. Algunas de las acciones que se deben hacer en un análisis estático son las siguientes: * Identificar el tipo de fichero * Obtener el hash del fichero * Hacer una búsqueda de cadenas (Strings) * Obtener información sobre el empaquetado del malware (si existe) * Ver los imports y exports * Analizar el código en esamblador ## Análisis Dinámico El análisis dinámico consiste en ejecutar el código en un entorno controlado y observar su comportamiento en tiempo real. A diferencia del análisis estático, que examina el código sin ejecutarlo, el análisis dinámico proporciona información sobre cómo el malware interactúa con el sistema operativo, los procesos en ejecución y la red. Para realizar un análisis dinámico es indispensable tener un entorno estrictamente controlado y por lo general aislado para que el malware no pueda afectar al host anfitrión. Para realizar un correcto análisis se pueden seguir los siguientes pasos: * Configuración del entorno con una máquina virtual aislada. Esta configuración debe imitar un sistema real con el software, las aplicaciones y las configuraciones de red que podría tener un usuario. * Snapshot del sistema una vez se ha configurado * Despliegue de herramientas para capturar y monitorear la actividad del malware, esto incluye actividad de red, procesos del sistema, llamadas a sistema, operaciones en el registro … * Ejecución del malware * Observación y análisis de los datos recopilados El análisis dinámico proporciona una visión más completa del comportamiento del malware, pero puede ser más complejo y costoso en comparación con el análisis estático. 1. Motores de antivirus * * * 2. Consultar hash de un malware para saber si ha sido analizado pero sin generar ruido. 3. Buscar strings 4. Comando **file** para detectar el tipo de fichero 5. Malware ofuscado por un packer, en este caso antes de realizar el análisis hay que eliminar esta primera capa de abstracción. **Comprobar si está ofuscado** * * rdg packer detector -> 6. Yara -> herramienta para identificar y clasificar malware {% embed url="" %} {% embed url="" %}