Saltar al contenido
03 · SOC Gestionado03 · Managed SOC

Malware AnalysisMalware Analysis

Análisis estático y dinámico de muestras de malware.Static and dynamic analysis of malware samples.

Reverse engineeringReverse engineering 3.2 · Gestión de Incidentes3.2 · Incident Management

¿Qué es este servicio?What is this service?

Es el estudio de una muestra maliciosa para saber qué hace exactamente: análisis estático de su contenido sin ejecutarla, análisis dinámico ejecutándola en un entorno aislado y, cuando hace falta, ingeniería inversa del código para entender la lógica que esconde.

The study of a malicious sample to establish exactly what it does: static analysis of its contents without running it, dynamic analysis by executing it in an isolated environment and, where needed, reverse engineering the code to understand the logic it hides.

¿Para qué se usa?What is it used for?

Sirve para responder las preguntas que deciden el alcance del incidente: ¿robó credenciales o solo cifró? ¿se propaga solo? ¿con qué servidor habla? Ese servidor es el indicador que se bloquea en toda la red y que se busca en los registros para saber cuántos equipos más están infectados. Sin ese dato, la limpieza es a ciegas.

It answers the questions that define the scope of the incident: did it steal credentials or only encrypt? does it spread by itself? which server does it talk to? That server is the indicator to block across the network and to hunt for in the logs, in order to establish how many other machines are infected. Without it, the clean-up is blind.

Qué beneficios traeBenefits it delivers

  • Produce indicadores propios del entorno de la organización, que valen más que cualquier lista genérica comprada a un proveedor.
  • Revela si hubo robo de datos antes del cifrado, que es lo que cambia por completo las obligaciones de notificación.
  • Permite escribir detecciones de comportamiento que sobreviven a la siguiente variante, porque el atacante cambia el archivo pero no la técnica.
  • Identifica a la familia y muchas veces al grupo detrás, lo que anticipa qué van a hacer a continuación.
  • Produces indicators specific to the environment of the organisation, worth more than any generic list bought from a vendor.
  • Reveals whether data was stolen before encryption, which completely changes the notification obligations.
  • Allows writing behavioural detections that survive the next variant, because the attacker changes the file but not the technique.
  • Identifies the family and often the group behind it, which anticipates their next move.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No es obligatorio en Costa Rica.
  • Es el análisis que sostiene la afirmación de si hubo o no exfiltración de datos personales, que bajo la Ley 8968 es la diferencia entre un incidente técnico y uno con implicaciones para los titulares.
  • It is not mandatory in Costa Rica.
  • It is the analysis that supports any claim about whether personal data were exfiltrated, which under Law 8968 marks the difference between a technical incident and one with consequences for data subjects.

InternacionalInternational

  • Ningún marco lo exige por nombre.
  • PCI-DSS exige mecanismos anti-malware y su evaluación periódica, y evaluar exige entender contra qué se está protegiendo.
  • Las investigaciones forenses exigidas tras un compromiso de datos de tarjetas suelen incluir análisis de las muestras encontradas.
  • No framework requires it by name.
  • PCI-DSS requires anti-malware mechanisms and their periodic evaluation, and evaluating means understanding what is being defended against.
  • The forensic investigations required after a cardholder data compromise routinely include analysis of the samples found.

Requisitos mínimosMinimum requirements

  • La muestra preservada, no eliminada por el antivirus. Conviene extraerla de la cuarentena antes de que rote.
  • Contexto del incidente: en qué equipo apareció, cómo llegó, qué se observó. Una muestra sin contexto rinde la mitad.
  • Un laboratorio aislado con capacidad de ejecución controlada. Nunca se detona una muestra en la red corporativa.
  • Autorización explícita para manipular y ejecutar código malicioso, con el alcance por escrito.
  • The sample preserved rather than deleted by the antivirus. It should be pulled out of quarantine before quarantine rotates.
  • Incident context: which machine it appeared on, how it arrived, what was observed. A sample without context yields half as much.
  • An isolated laboratory with controlled execution capability. A sample is never detonated on the corporate network.
  • Explicit authorisation to handle and execute malicious code, with the scope set down in writing.

Plazo típico de entregaTypical delivery time

1 a 4 semanas 1 to 4 weeks rango habitual del mercado usual market range

Un triaje rápido con indicadores accionables se entrega en veinticuatro o cuarenta y ocho horas, que es lo que suele pedir un incidente en curso. El análisis completo va de una a cuatro semanas, y lo que lo alarga es la ofuscación: una muestra empaquetada y con anti-análisis obliga a desempaquetar a mano antes de poder leer nada.

A rapid triage with actionable indicators is delivered within twenty-four to forty-eight hours, which is what an active incident usually needs. Full analysis runs one to four weeks, and what lengthens it is obfuscation: a packed sample with anti-analysis tricks forces manual unpacking before anything can be read.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

Análisis estáticoStatic analysis
Examinar el archivo sin ejecutarlo: su estructura, sus cadenas de texto, sus funciones importadas. Examining the file without running it: its structure, its strings, its imported functions.
Análisis dinámicoDynamic analysis
Ejecutarlo en un entorno aislado y observar qué archivos crea, qué cambia y con quién se comunica. Running it in an isolated environment and observing which files it creates, what it changes and who it contacts.
SandboxSandbox
El entorno aislado y desechable donde se detona la muestra sin riesgo para la red real. The isolated, disposable environment where the sample is detonated at no risk to the real network.
C2C2
El servidor de mando y control con el que el malware se comunica para recibir órdenes o enviar lo robado. The command and control server the malware contacts to receive orders or send out what it stole.
YARAYARA
Formato de reglas para identificar familias de malware por patrones dentro del archivo. A rule format for identifying malware families by patterns found inside the file.