Tu Primer Laboratorio: VirtualBox + FlareVM + REMnux

Por qué necesitas un laboratorio aislado

Analizar malware en tu sistema operativo principal es una receta para el desastre. Un laboratorio aislado te permite ejecutar muestras maliciosas sin riesgo para tus datos ni tu red.

Los tres pilares de un laboratorio seguro:

• Aislamiento de red: las VMs no deben tener acceso a Internet ni a tu red local
• Snapshots: poder volver al estado limpio en segundos
• Separación de roles: una VM para análisis Windows (FlareVM), otra para análisis Linux (REMnux)

Requisitos de hardware

Componente	Mínimo	Recomendado
RAM	16 GB	32 GB
CPU	4 cores	8+ cores
Disco	100 GB libres	256 GB SSD
Virtualización	VT-x/AMD-V habilitado	Igual

Paso 1: Instalar VirtualBox

Descarga VirtualBox desde la página oficial. Instala también el Extension Pack para soporte USB y cifrado de disco virtual.

# Linux (Ubuntu/Debian)
sudo apt install virtualbox virtualbox-ext-pack

# macOS (Homebrew)
brew install --cask virtualbox virtualbox-extension-pack

Paso 2: Crear la red aislada

Configura una red interna (Internal Network) en VirtualBox. Esto permite comunicación entre VMs pero sin acceso al host ni a Internet.

1. VirtualBox → Archivo → Herramientas → Network Manager
2. Crear nueva red Host-Only: vboxnet0 (192.168.56.0/24)
3. Para las VMs de análisis, usar red Interna (no Host-Only)

La diferencia clave:

• Host-Only: VMs se comunican con el host (útil para transferir archivos)
• Internal Network: VMs solo se comunican entre sí (máximo aislamiento)

Para análisis real, usa Internal Network y transfiere muestras vía carpeta compartida temporal (desconectar después).

Paso 3: Instalar Windows + FlareVM

FlareVM es una colección de scripts que convierte un Windows limpio en una estación de análisis de malware con 140+ herramientas preinstaladas.

1. Instala Windows 10/11 en una VM (4 GB RAM, 80 GB disco)
2. Desactiva Windows Update y Windows Defender
3. Toma un snapshot (estado: "Windows limpio")
4. Abre PowerShell como administrador:

# Permitir ejecución de scripts
Set-ExecutionPolicy Unrestricted -Force

# Descargar e instalar FlareVM
(New-Object net.webclient).DownloadFile(
  'https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',
  "$env:TEMP\install.ps1"
)
Unblock-File "$env:TEMP\install.ps1"
& "$env:TEMP\install.ps1"

La instalación tarda 30-60 minutos. Al finalizar, toma otro snapshot (estado: "FlareVM limpio").

Herramientas incluidas en FlareVM

• Debuggers: x64dbg, WinDbg, OllyDbg
• Disassemblers: Ghidra, IDA Free, Binary Ninja (eval)
• PE Analysis: PEStudio, PEBear, CFF Explorer
• Monitoring: Process Monitor, Process Hacker, API Monitor
• Network: Wireshark, FakeNet-NG, NetworkMiner
• Utilities: HxD, 7-Zip, Notepad++, Python 3

Paso 4: Instalar REMnux

REMnux es una distribución Linux diseñada específicamente para reverse engineering y análisis de malware.

1. Descarga la OVA oficial de REMnux
2. Importa en VirtualBox (Archivo → Importar)
3. Configura la misma Internal Network que FlareVM
4. Asigna IP estática: 192.168.100.2/24

REMnux incluye:

• Análisis estático: YARA, ssdeep, PEframe, pyew
• Análisis de documentos: olevba, pdfid, pdf-parser
• Red: INetSim (simulador de servicios), Wireshark, mitmproxy
• Scripting: Python 3 con todas las librerías de análisis

Paso 5: Configurar INetSim en REMnux

INetSim simula servicios de Internet (HTTP, DNS, SMTP, FTP) para que el malware "crea" que tiene conectividad sin salir a la red real.

# En REMnux, editar configuración
sudo nano /etc/inetsim/inetsim.conf

# Cambiar bind_address a la IP de REMnux
service_bind_address 192.168.100.2

# Iniciar INetSim
sudo inetsim

En la VM Windows (FlareVM), configura:

• DNS: apuntar a 192.168.100.2
• Gateway: 192.168.100.2

Ahora todo el tráfico de red del malware será capturado por REMnux.

Paso 6: Workflow de análisis

1. Restaurar snapshot "FlareVM limpio"
2. Iniciar REMnux + INetSim
3. Transferir muestra a FlareVM (carpeta compartida temporal)
4. Desconectar carpeta compartida
5. Análisis estático (sin ejecutar la muestra)
6. Tomar snapshot pre-ejecución
7. Ejecutar muestra con monitoring activo
8. Capturar tráfico en REMnux
9. Documentar hallazgos
10. Restaurar snapshot limpio

Reglas de seguridad del laboratorio

1. NUNCA conectes la VM de análisis a Internet real
2. NUNCA compartas el portapapeles entre host y VM de análisis
3. SIEMPRE toma snapshot antes de ejecutar una muestra
4. SIEMPRE restaura al estado limpio entre análisis
5. NUNCA transfieras archivos del lab al host sin verificar
6. Mantén el host actualizado (las VMs son el sandbox, no el host)

Siguiente paso

Con el laboratorio configurado, el siguiente artículo cubre las herramientas y metodología de análisis estático: cómo examinar un binario sospechoso sin ejecutarlo.