Blue Team / Arsenal Defensivo
07 Malware · Sandbox
Sandboxing y análisis de malware
Cuando cae un fichero sospechoso, hay que saber qué hace SIN infectar la empresa. El sandboxing lo ejecuta en un entorno aislado y lo observa. Aquí ves el análisis estático vs dinámico, las sandboxes (Cuckoo/CAPE), y lo practicas seguro en tu Kali.
🔬Estático vs dinámico
| Análisis estático | miras el fichero SIN ejecutarlo: strings, hashes, secciones PE, imports, YARA. Rápido y seguro. |
| Análisis dinámico | lo EJECUTAS en sandbox y observas: procesos, red (C2), ficheros, registro, API calls. |
| Regla de oro | nunca ejecutes muestras en tu máquina ni en la red de producción. Siempre aislado y con snapshot. |
📊Quién es quién
| Cuckoo / CAPE Sandbox | la sandbox open-source de referencia: informe de comportamiento, tráfico, drops. CAPE añade unpacking. |
| Firejail / Bubblewrap | aislamiento ligero para EJECUTAR algo no confiable con una vista restringida del sistema. Tu Kali trae bwrap (bubblewrap). |
| any.run / Joe Sandbox / Hybrid Analysis | sandboxes online (sube el hash/fichero y te dan el informe). |
| Falcon Sandbox (CrowdStrike) | análisis profundo comercial + inteligencia. |
| REMnux | distro llena de herramientas de análisis de malware (complementa a Kali). |
🔧Lab (en tu Kali): triaje estático seguro
1
sha256sum muestra.bin
saca el hash y búscalo en VirusTotal/MalwareBazaar (sin ejecutar nada).
2
strings -n 8 muestra.bin | less
IPs, dominios, rutas, comandos... pistas en texto plano.
3
yara reglas.yar muestra.bin
¿matchea alguna familia conocida?
4
binwalk / exiftool / file muestra.bin
tipo real, ficheros embebidos, metadatos.
5
bwrap --unshare-net --ro-bind / / --dev /dev --tmpfs /tmp ./prog_dudoso
si TIENES que ejecutar algo dudoso, confínalo con bubblewrap: SIN red y con raíz de solo lectura.
Para dinámico de verdad: móntalo en una VM dedicada con snapshot y red simulada (INetSim), o usa una sandbox online con el hash. Nunca en tu equipo.
⚠Fallos típicos y solución
El malware detecta la sandbox y no hace nada
comprueba VM/usuario/tiempo (anti-análisis). Usa sandboxes con anti-evasión, retrasa, simula interacción de usuario.
Ejecutar la muestra con red abierta
contacta su C2 y puede propagarse. Usa red simulada (INetSim/FakeNet) o
--net=none.Analizar en tu máquina 'un momento'
no. Siempre VM desechable con snapshot. Un segundo basta para cifrarte el disco.
Fiarte de 1 solo motor
correlaciona estático + dinámico + varias sandboxes; ninguno acierta siempre.
💡Trucos
- Empieza SIEMPRE por estático (hash + strings + YARA): a veces no hace falta ejecutar nada.
- MalwareBazaar / VirusTotal por hash antes de nada; igual ya está clasificado.
- Captura el tráfico del dinámico (pcap) para sacar IOCs de C2 y meterlos en el SIEM.
🎯🎯 Lab puntuable: triaje de una muestra
Ahora tú. Haz triaje estático (100% seguro, sin ejecutar) de una muestra: saca el C2 con strings y extrae el fichero embebido con binwalk. 2 retos, 50 puntos.
⚑ Recuerda enviar la flag. Cuando saques la FLAG, envíala en su reto para que cuente en tu progreso y en el marcador. Si no la envías, no puntúa.
Ir a los retos🔎 No memorices comandos. Ten el Arsenal abierto en otra pestaña y busca ahí el comando exacto cuando lo necesites. Entiende el POR QUÉ aquí; el COMANDO lo copias del Arsenal.
Abrir Arsenal