Panorama del Análisis de Malware: Herramientas, Categorías y Flujo de Trabajo

El arsenal del analista de malware

El análisis de malware no depende de una sola herramienta. Requiere un ecosistema coordinado de utilidades que cubren desde la inspección estática de binarios hasta la correlación de inteligencia de amenazas a escala global. Un analista SOC N2 o un threat hunter necesita dominar al menos una herramienta de cada categoría para ser operativo.

Esta guía organiza las herramientas en 8 categorías funcionales, con las 5 o 6 opciones principales de cada una. El objetivo: que sirva como referencia de consulta rápida y como mapa para construir tu laboratorio de análisis.

Clasificación de niveles de amenaza

Antes de entrar en las herramientas, es fundamental entender el sistema de clasificación que usamos para priorizar el análisis:

Nivel	Indicador	Acción recomendada	Tiempo de respuesta
Crítico	Ransomware activo, wiper, exploit 0-day en ejecución	Contención inmediata, aislamiento de red	< 15 minutos
Alto	RAT con C2 activo, infostealer exfiltrando datos	Triaje completo, bloqueo de IOCs	< 1 hora
Medio	Loader sin payload confirmado, adware persistente	Análisis estático + dinámico, monitorizar	< 4 horas
Bajo	PUP (Potentially Unwanted Program), miner inactivo	Análisis estático, documentar, programar limpieza	< 24 horas
Info	Archivo sospechoso sin indicadores claros	Enviar a sandbox, monitorizar	Según disponibilidad

Categoría 1: Análisis estático

El análisis estático examina el archivo sin ejecutarlo. Es el primer paso del triaje: rápido, seguro y revela la estructura interna del binario.

Herramientas principales

PEStudio es la navaja suiza del análisis estático en Windows. Abre un ejecutable PE y muestra de un vistazo: entropía por sección (alta entropía sugiere empaquetado o cifrado), imports sospechosos (CreateRemoteThread, VirtualAllocEx), strings relevantes, indicadores de anomalía y puntuación de riesgo. Gratuito para uso individual.

Detect It Easy (DIE) identifica el compilador, el packer y el protector usado en un binario. Soporta PE, ELF, Mach-O y más. Esencial para saber si un sample está empaquetado con UPX, Themida, VMProtect u otros protectores antes de intentar análisis profundo.

Strings (de Sysinternals o el comando strings de GNU) extrae cadenas de texto legibles de un binario. URLs de C2, claves de registro, mensajes de error, rutas de archivo: todo lo que el desarrollador del malware dejó en texto plano.

ExeinfoPE complementa a DIE con detección de packers y protectores menos conocidos. Su base de datos de firmas es especialmente buena para packers personalizados usados en malware de Europa del Este y Asia.

Dependency Walker (y su sucesor moderno Dependencies) muestra el árbol de dependencias DLL de un ejecutable. Útil para identificar DLL hijacking, imports inusuales de APIs de red o criptografía, y dependencias que no deberían estar en un binario legítimo.

Comandos rápidos de análisis estático

# Extraer strings legibles (mínimo 6 caracteres)
strings -n 6 muestra.exe > strings_output.txt

# Calcular hashes para búsqueda en VirusTotal
sha256sum muestra.exe
md5sum muestra.exe

# Obtener información PE con pefile (Python)
python3 -c "import pefile; pe = pefile.PE('muestra.exe'); print(pe.dump_info())"

# Identificar tipo de archivo real (no confiar en extensión)
file muestra.exe

# Entropía por sección con rabin2 (Radare2)
rabin2 -S muestra.exe

Categoría 2: Análisis dinámico (sandboxing)

El análisis dinámico ejecuta la muestra en un entorno controlado y observa su comportamiento: procesos creados, conexiones de red, modificaciones del sistema de archivos, cambios en el registro.

Herramientas principales

ANY.RUN es una sandbox interactiva en la nube. Su gran ventaja: puedes interactuar con la muestra en tiempo real (hacer clic en botones, abrir documentos). Muestra árbol de procesos, actividad de red, IOCs extraídos y mapeo ATT&CK automático. Plan gratuito con análisis públicos.

Hybrid Analysis (CrowdStrike) combina análisis estático y dinámico con clasificación por CrowdStrike Falcon. Genera reportes detallados con screenshots, tráfico de red capturado y extracción de configuración de malware conocido.

Joe Sandbox ofrece análisis profundo con evasión de anti-sandbox avanzada. Soporta Windows, macOS, Linux y Android. Sus reportes de comportamiento son los más detallados del mercado. Versión Cloud y on-premise.

Cuckoo Sandbox / CAPE es la opción open source. Cuckoo fue el estándar durante años; CAPE (una bifurcación activa) añade extracción de payloads desempaquetados, configuraciones de malware y mejoras de evasión. Requiere infraestructura propia.

Triage (Hatching) es la sandbox más rápida. Enfocada en alto volumen de muestras con extracción automática de configuraciones de familias conocidas (Emotet, QakBot, AgentTesla). Ideal para equipos SOC que procesan cientos de muestras diarias.

Categoría 3: Análisis de red

La actividad de red es donde el malware se delata. Conexiones a C2, exfiltración de datos, movimiento lateral: todo genera tráfico que puede capturarse y analizarse.

Herramientas principales

Wireshark es el estándar para captura y análisis de paquetes. Filtros de visualización potentes, decodificación de protocolos, seguimiento de flujos TCP/UDP y extracción de archivos transferidos. Indispensable para analizar tráfico capturado en sandboxes.

Fiddler (ahora Fiddler Everywhere, de Telerik) actúa como proxy HTTP/HTTPS interceptando tráfico web. Esencial para analizar comunicaciones C2 sobre HTTP y descifrar HTTPS con su certificado raíz instalado en el entorno de análisis.

Zeek (antes Bro) genera logs estructurados del tráfico de red en tiempo real. No captura paquetes completos, sino metadatos: conexiones, DNS, HTTP, SSL/TLS, ficheros transferidos. Ideal para detección a escala en redes corporativas.

TCPView (Sysinternals) muestra conexiones TCP/UDP abiertas por cada proceso en tiempo real. Permite identificar qué proceso está comunicándose con qué IP y puerto. Complemento perfecto durante análisis dinámico en una VM.

DNSQuerySniffer (NirSoft) captura todas las consultas DNS del sistema. Los dominios consultados por malware (especialmente DGA, Domain Generation Algorithms) son IOCs de alto valor que revelan la infraestructura C2.

Comandos rápidos de análisis de red

# Capturar tráfico con tcpdump (30 segundos)
sudo tcpdump -i eth0 -w captura.pcap -G 30 -W 1

# Extraer URLs de un PCAP con tshark
tshark -r captura.pcap -Y "http.request" -T fields -e http.host -e http.request.uri

# Consultas DNS únicas en un PCAP
tshark -r captura.pcap -Y "dns.qry.name" -T fields -e dns.qry.name | sort -u

# Conexiones establecidas por proceso (Linux)
ss -tulnp | grep ESTAB

# IPs destino únicas en un PCAP
tshark -r captura.pcap -T fields -e ip.dst | sort -u | head -20

Categoría 4: Threat Intelligence

Las plataformas de threat intelligence permiten correlacionar IOCs, verificar si un hash o IP ya es conocido como malicioso y obtener contexto sobre familias de malware y actores de amenaza.

Herramientas principales

VirusTotal agrega resultados de 70+ motores antivirus. Cualquier hash, IP, dominio o URL puede consultarse. Además de detección, muestra relaciones (archivos que contactan una IP, dominios resueltos por una muestra), sandbox integrada y comentarios de la comunidad.

AbuseIPDB es una base de datos colaborativa de IPs reportadas como maliciosas. Cada IP tiene un score de confianza basado en reportes de la comunidad. Útil para validar rápidamente si una IP destino encontrada en el análisis ya es conocida.

AlienVault OTX (Open Threat Exchange) ofrece pulsos de inteligencia comunitarios con IOCs, TTPs y contexto. Los pulsos contienen colecciones curadas de indicadores relacionados con campañas específicas. API gratuita con buena integración.

Cisco Talos Intelligence proporciona reputación de IPs, dominios y hashes respaldada por la telemetría de Cisco. Su base de datos de reputación de email es especialmente valiosa para investigar campañas de phishing.

MalwareBazaar (abuse.ch) es un repositorio de muestras de malware con hashes, tags de familia, firmas YARA y metadatos de análisis. Permite buscar por familia, tag, firma o hash. Los datos son gratuitos y de alta calidad para investigación defensiva.

Categoría 5: Ingeniería inversa (Malware Analysis)

Cuando el análisis estático y dinámico no son suficientes, la ingeniería inversa permite entender el código del malware instrucción por instrucción. Aquí viven los desensambladores y depuradores.

Herramientas principales

IDA Pro (Hex-Rays) es el estándar de la industria en desensamblado y decompilación. Su decompilador Hex-Rays transforma ensamblador en pseudocódigo C legible. Soporta prácticamente todas las arquitecturas. Es software comercial con coste significativo.

Ghidra (NSA) es la alternativa open source a IDA Pro. Su decompilador es excelente y ha mejorado enormemente desde su lanzamiento en 2019. Soporta scripting en Java y Python. Para la mayoría de analistas, Ghidra es más que suficiente.

x64dbg es un depurador open source para Windows (x86 y x64). Interfaz moderna, plugins extensivos y scriptable. Ideal para análisis dinámico a nivel de instrucción: poner breakpoints en APIs clave, seguir la ejecución paso a paso, modificar registros y memoria.

Radare2 (y su interfaz Cutter) es un framework de ingeniería inversa por línea de comandos. Extremadamente potente pero con curva de aprendizaje pronunciada. Su scriptabilidad con r2pipe lo hace ideal para automatización de análisis.

Binary Ninja es una alternativa moderna a IDA Pro con una API Python excelente. Su IL (Intermediate Language) multinivel facilita el análisis automatizado. Precio más accesible que IDA Pro, con versión Cloud gratuita limitada.

Comandos rápidos de ingeniería inversa

# Desensamblar con radare2 (modo análisis)
r2 -A muestra.exe
# Dentro de r2: afl (listar funciones), pdf @ main (desensamblar main)

# Buscar strings con rabin2
rabin2 -z muestra.exe

# Desensamblar una función con objdump (ELF)
objdump -d -M intel muestra.elf | less

# Abrir en Ghidra desde CLI (headless analysis)
analyzeHeadless /tmp/ghidra_project proyecto -import muestra.exe -postScript ExportFunctions.py

Categoría 6: Forensia digital

La forensia digital entra en juego cuando el incidente ya ocurrió. Estas herramientas analizan discos, memoria RAM, registros del sistema y artefactos del sistema operativo para reconstruir la cadena de eventos.

Herramientas principales

Autopsy es la plataforma forense open source más completa. Interfaz gráfica sobre The Sleuth Kit (TSK). Analiza imágenes de disco, recupera archivos eliminados, extrae artefactos de navegadores, registros de eventos y metadatos de archivos.

FTK Imager (Exterro) crea imágenes forenses de discos y particiones con verificación de integridad (hash). Puede montar imágenes de disco como volúmenes de solo lectura para examinar sin alterar la evidencia original. Gratuito.

Volatility 3 es el framework estándar para análisis de memoria RAM. Extrae procesos ocultos, conexiones de red, DLLs inyectadas, hooks de API, credenciales en memoria y artefactos de malware que solo existen en RAM (fileless malware).

RegRipper extrae y analiza información del registro de Windows de forma automatizada. Los hives del registro contienen evidencia forense valiosa: programas ejecutados (UserAssist), dispositivos USB conectados, servicios instalados y persistencia de malware.

Bulk Extractor escanea imágenes de disco o volcados de memoria buscando patrones específicos: emails, URLs, números de tarjeta de crédito, direcciones IP, headers de archivos. No necesita sistema de archivos intacto; trabaja con datos raw.

Comandos rápidos de forensia

# Listar procesos ocultos en un volcado de memoria (Volatility 3)
vol -f memoria.raw windows.pslist
vol -f memoria.raw windows.pstree
vol -f memoria.raw windows.malfind

# Crear imagen forense con dd (Linux)
sudo dd if=/dev/sda of=imagen_forense.raw bs=4M status=progress
sha256sum imagen_forense.raw > imagen_forense.sha256

# Extraer artefactos con bulk_extractor
bulk_extractor -o output_dir imagen_forense.raw

# Montar imagen de disco en solo lectura
sudo mount -o ro,loop imagen_forense.raw /mnt/evidencia

Categoría 7: Eliminación de malware

Cuando el análisis confirma una infección, estas herramientas ayudan a eliminar el malware del sistema afectado. Orientadas a respuesta a incidentes y limpieza.

Herramientas principales

Malwarebytes es el escáner de eliminación más reconocido. Su motor de detección basado en comportamiento y firmas detecta malware que los antivirus tradicionales pueden omitir. La versión gratuita funciona como escáner bajo demanda.

Emsisoft Emergency Kit es un escáner portátil (no requiere instalación) con doble motor de análisis. Ideal para ejecutar desde USB en sistemas comprometidos donde no se puede instalar software. Incluye línea de comandos para scripting.

HitmanPro usa análisis en la nube con múltiples motores antimalware. Su tecnología de escaneo comportamental detecta amenazas activas que residen en memoria. Útil como segunda opinión tras un escaneo con otro producto.

Kaspersky TDSSKiller está especializado en rootkits y bootkits. Detecta y elimina malware que se oculta en el MBR, VBR o drivers del kernel. Esencial cuando sospechas que la persistencia está a nivel de arranque o kernel.

RKill (BleepingComputer) no elimina malware, sino que termina procesos maliciosos conocidos que podrían bloquear la ejecución de herramientas de limpieza. Se ejecuta primero para "despejar el camino" antes de usar escáneres de eliminación.

Nota defensiva: La eliminación de malware siempre debe ir acompañada de análisis forense previo. Eliminar sin documentar destruye evidencia que puede ser necesaria para entender el alcance del compromiso, la vía de entrada y si hubo exfiltración de datos.

Categoría 8: OSINT y reconocimiento

Las herramientas OSINT (Open Source Intelligence) y de reconocimiento ayudan a investigar la infraestructura del atacante, atribuir campañas y descubrir activos expuestos. Uso estrictamente pasivo y defensivo.

Herramientas principales

Shodan indexa dispositivos conectados a Internet. Permite buscar servidores C2, paneles de administración de malware, servicios expuestos y dispositivos IoT vulnerables. La búsqueda por certificados SSL es especialmente útil para rastrear infraestructura C2.

theHarvester recopila emails, subdominios, IPs y URLs asociadas a un dominio usando múltiples fuentes públicas (motores de búsqueda, DNSdumpster, Censys, Shodan). Útil para mapear la superficie de ataque de un dominio sospechoso.

Recon-ng es un framework de reconocimiento modular con módulos para DNS, WHOIS, geolocalización, redes sociales y más. Interfaz similar a Metasploit. Los resultados se almacenan en una base de datos local para correlación.

SpiderFoot automatiza la recolección OSINT sobre IPs, dominios, emails y nombres. Más de 200 módulos de datos. Correlaciona automáticamente los hallazgos y genera grafos de relaciones. Versión open source y versión cloud (HX).

Maltego (Paterva) es la herramienta de referencia para análisis visual de relaciones. Sus "transforms" consultan múltiples fuentes y construyen grafos interactivos que conectan dominios, IPs, emails, organizaciones y personas. Versión Community gratuita con limitaciones.

Comandos rápidos de OSINT

# Buscar infraestructura en Shodan (requiere API key)
shodan search "product:Apache country:RU port:8443"

# Recopilar subdominios con theHarvester
theHarvester -d dominio-sospechoso.com -b all -l 500

# Consulta WHOIS
whois dominio-sospechoso.com

# DNS lookup completo
dig ANY dominio-sospechoso.com +noall +answer
nslookup -type=ANY dominio-sospechoso.com

# Buscar en Censys (requiere API key)
censys search "services.tls.certificates.leaf.subject.common_name: sospechoso.com"

Flujo de trabajo recomendado para triaje de muestras

El triaje efectivo sigue un flujo estructurado. No se trata de usar todas las herramientas, sino las correctas en el orden correcto.

Paso 1: Identificación inicial (2 minutos)

Calcular hashes (MD5, SHA256) y buscar en VirusTotal. Si ya es conocido con alta detección, tienes contexto inmediato: familia, TTPs, IOCs relacionados. Si es desconocido o tiene baja detección, continúa al paso 2.

sha256sum muestra.exe
# Buscar el hash en VirusTotal, MalwareBazaar, Hybrid Analysis

Paso 2: Análisis estático rápido (5 minutos)

Abrir en PEStudio. Revisar: entropía (empaquetado?), imports sospechosos (inyección de procesos, criptografía, red), strings (URLs, IPs, rutas, claves de registro), anomalías en headers PE. Identificar packer con DIE.

Paso 3: Análisis dinámico en sandbox (10 minutos)

Subir a ANY.RUN o Hybrid Analysis. Observar: procesos creados, conexiones de red (IPs/dominios C2), modificaciones del sistema de archivos, cambios en el registro, técnicas de evasión detectadas. Extraer IOCs del reporte.

Paso 4: Análisis de red (si hay PCAP, 5 minutos)

Si la sandbox o tu laboratorio capturó tráfico, analizar con Wireshark. Buscar: dominios DGA, beaconing periódico (intervalos regulares de conexión a C2), exfiltración de datos, protocolos inusuales sobre puertos estándar.

Paso 5: Correlación de inteligencia (5 minutos)

Cruzar IOCs extraídos (hashes, IPs, dominios) contra plataformas de threat intelligence: VirusTotal, AbuseIPDB, AlienVault OTX, MalwareBazaar. Identificar familia de malware, actor de amenaza y campaña si es posible.

Paso 6: Documentación y escalación

Documentar hallazgos: familia identificada, TTPs mapeados a MITRE ATT&CK, IOCs para bloqueo, recomendaciones de contención. Escalar según nivel de amenaza (ver tabla de clasificación arriba).

Tabla resumen: herramienta por categoría

Categoría	Herramienta	Licencia	Plataforma	Caso de uso principal
Estático	PEStudio	Free/Pro	Windows	Triaje inicial PE
Estático	Detect It Easy	Free	Win/Lin/Mac	Identificar packers
Dinámico	ANY.RUN	Free/Pro	Cloud	Sandbox interactiva
Dinámico	CAPE Sandbox	Open source	Linux	Sandbox on-premise
Red	Wireshark	Open source	Win/Lin/Mac	Análisis de PCAP
Red	Zeek	Open source	Linux	Monitoreo de red
Threat Intel	VirusTotal	Free/Premium	Cloud	Correlación multi-motor
Threat Intel	MalwareBazaar	Free	Cloud	Repositorio de muestras
Reversing	Ghidra	Free (NSA)	Win/Lin/Mac	Desensamblado/decompilación
Reversing	x64dbg	Open source	Windows	Depuración dinámica
Forensia	Volatility 3	Open source	Win/Lin/Mac	Análisis de memoria
Forensia	Autopsy	Open source	Win/Lin/Mac	Análisis de disco
Eliminación	Malwarebytes	Free/Pro	Windows	Escáner bajo demanda
Eliminación	TDSSKiller	Free	Windows	Rootkits/bootkits
OSINT	Shodan	Free/Pro	Cloud	Infraestructura expuesta
OSINT	Maltego	Community/Pro	Win/Lin/Mac	Grafos de relaciones

Consejos de seguridad para el analista

Aislamiento del laboratorio. Nunca analices malware en tu equipo de trabajo. Usa VMs con snapshots, redes aisladas (host-only o sin conexión) y preferiblemente un equipo físico dedicado. Restaura el snapshot después de cada análisis.

Hashes antes de todo. Lo primero siempre es calcular el hash y buscar en VirusTotal. Si ya es conocido, tienes contexto sin exponer tu laboratorio. Evita ejecutar muestras que ya están documentadas salvo que necesites comportamiento específico.

Documenta cada paso. Captura de pantalla, logs, timestamps. La reproducibilidad del análisis es tan importante como los hallazgos. Un informe sin evidencia reproducible pierde credibilidad.

Mantén las herramientas actualizadas. Las firmas de packers cambian, los motores de detección mejoran, las sandbox añaden contramedidas de evasión. Una herramienta desactualizada puede dar falsos negativos que comprometen tu análisis.

Nunca confíes en la extensión del archivo. Un .pdf puede ser un .exe renombrado. Siempre verifica con file en Linux o con herramientas que analicen los magic bytes del archivo.

Recursos adicionales

Para profundizar en cada categoría, los siguientes artículos de esta serie cubren herramientas específicas con tutoriales paso a paso:

• Análisis estático en profundidad: PEStudio, DIE, pefile, YARA rules y análisis de PE headers
• Análisis dinámico y sandboxing: Configuración de CAPE, técnicas anti-evasión, extracción de configuraciones
• Plataformas de sandbox cloud: Comparativa detallada ANY.RUN vs Hybrid Analysis vs Joe Sandbox vs Triage

La infografía adjunta a este artículo resume las 8 categorías con las herramientas principales de cada una. Descárgala como cheatsheet de referencia rápida para tu laboratorio.