1. Análisis de Malware
David Moreno Gaviria
Comunidad DragonJAR
Encuentro de Tecnologías de la Información -
SecurInf V.3

2.  La Comunidad DragonJAR
 Definiciones e Historia del Malware
 Implementación de entornos para el Análisis de Malware / Herramientas
 ¿Por qué se hace necesario la implementación de este tipo de entornos?
 Implicaciones legales del Análisis de Malware
 Fases implicadas en el Análisis de Malware:
 Tipos de Análisis
 Perfilamiento del Malware / Detalles
 Comprobaciones criptográficas
 Comparación de firmas
 Escaneos
 Examinación
 Extracción y Análisis de Datos
 Revelación de datos
 Correlación de resultados
 Investigación y profundización
 Conclusiones y recomendaciones

3. Análisis de Malware - Securinf

4. Análisis de Malware - Securinf

5. Análisis de Malware - Securinf
• ¿Qué es el Malware?
• Tipología del Malware
• BackDoor
• BootNet
• Exploit
• Gusano
• Hoax
• Keylogger
• Phishing
• Rouge
• Rootkit
• Spam
• Spyware
• Troyano
• Virus
• Análisis de Malware

6. Análisis de Malware - Securinf

7. Análisis de Malware - Securinf
Implementación de un entorno de Laboratorio
Seguro
Requerimientos mínimos:
• Máquinas virtuales / Físicas (Mínimo 3)
• Varios S.O
• Interfaces de Red
• Metodología
• Documentación
• Debugger
• Monitores de procesos
• Monitores de sistemas
• Monitores de archivos
• Monitores de instalaciones
• Monitores de red
• Editor hexadecimal
• AV’s
• Des/Ensambladores

8. Montaje de un entorno de Laboratorio
Seguro para el Análisis de Malware
Algunas Herramientas:
• OllyDbg
• IDA Pro
• PEiD
• GNU Debugger (GDB)
• Editor Hexadecimal
• Syser
• Microsoft Debugging Tools
• Process Explorer
• Process Monitor
• RegMon
• FileMon
• PortMon
• System Information for Windows
• FCIV
• Malcode Analyst Pack
• SSDEEP
• FileAlyzer
• InstallWatch
• RegShot

9. Análisis de Malware - Securinf

10. Análisis de Malware - Securinf
¿Por qué implementarlos?
• Bases sólidas del funcionamiento y
operatividad del Malware.
• Contramedidas al Malware.
• Fácil inicio para aprendices
• Portables
• Simulación de entornos reales.
• Implicaciones legales.
• Implementación / pruebas de
herramientas AV’s.

11. Análisis de Malware - Securinf

12. Análisis de Malware - Securinf

13. Análisis de Malware - Securinf
Obtener
archivo
Investigar Detalles
Correlacionar Hash
Revelar Comparación
Extraer Clasificación
Examinar Escaneo

14. Análisis de Malware - Securinf
Obtener archivo
• Muestras/Listas de Malware (Dominios)
• Internet (Postales, Webs infectadas)
• USB/CD/DVD
(Video)

15. Análisis de Malware - Securinf
Instantáneas del Sistema

16. Análisis de Malware - Securinf
Detalles del Sistema:
• Sistema Operativo
• Service Pack
• Actualizaciones de Seguridad
• Dispositivos
• Software Instalado
SIW
System Information for Windows
www.gtopala.com

17. Análisis de Malware - Securinf
Fases Implicadas:
Comprobaciones Criptográficas
• Algoritmo MD5 (Reducción)
• FCIV (File Checksum Integrity Verifier)
http://support.microsoft.com/kb/841290
• Malcode Analyst Pack
http://labs.idefense.com/software/
• WinVI
http://www.winvi.de
(Video)

18. Análisis de Malware - Securinf
Fases Implicadas:
Comprobaciones Criptográficas / Alteraciones /
Variantes.
Computing Context Triggered Piecewise Hashes
(CTPH)
• SSDEEP
http://ssdeep.sourceforge.net
(Video)

19. Fases Implicadas:
Clasificación de Archivos
• Extensión del Archivo (no recomendable)
• File Signature (Firma del archivo)
20 bytes del archivo
Windows Bitmap (.bmp) > Hex: 42 4D > BM
Ej Ext MW: .exe, .dll, .com, .pif, .ocx, .drv, etc.
• WinVI
http://www.winvi.de
• File Signature Table
http://www.garykessler.net/library/file_sigs
.html
• Exeinfo
www.geocities.com/exeinfo_PE/
(Video)

20. Análisis de Malware - Securinf
Fases Implicadas:
Detección de Empaquetados
• RDG Packer Detector
www.rdgsoft.8k.com
(Video)

21. Fases Implicadas:
Escaneo con AV’s
Anti Virus Locales:
• AVIRA
http://www.free-av.com/
• Norton AV
http://www.symantec.com/norton/antivirus
• Kaspersky
http://www.kaspersky.com/
• ESET Smart Security
http://www.eset-la.com/smartsecurity/
• McAfee
http://www.mcafee.com/es/
Anti Virus Online:
• Virus Total
http://www.virustotal.com/es.
• VirSCAN
http://virscan.org/
(Video)

22. Análisis de Malware - Securinf
Fases Implicadas:
Información Embebida - Strings
• Malcode Analyst Pack
http://labs.idefense.com/software/
(Video)

23. Análisis de Malware - Securinf
Fases Implicadas:
Dependencias
• OllyDBG
http://www.ollydbg.de/
(Video)

24. Análisis de Malware - Securinf
Fases Implicadas:
Metadatos
• FileAlyzer
http://www.safer-
networking.org/en/filealyzer/index.html
(Video)

25. Análisis de Malware - Securinf
Fases Implicadas:
Monitoreo de ejecución simple / Análisis
Dinámico
Monitoreo de instalación
• InstallWatch
http://www.epsilonsquared.com/installwat
ch.htm
(Video)

26. Análisis de Malware - Securinf
Fases Implicadas:
Monitoreo de ejecución simple / Análisis
Dinámico
Instantáneas del sistema (Registro)
• RegShot
http://sourceforge.net/projects/regshot/
(Video)

27. Análisis de Malware - Securinf
Fases Implicadas:
Monitoreo de ejecución simple / Análisis
Dinámico
Ejecución Automática de Archivos / Ocultos
• MSCONFIG
(Video)

28. Análisis de Malware - Securinf
Fases Implicadas:
Análisis de archivos generados / Ejecución
Comprobación de firmas
• SSDEEP
http://ssdeep.sourceforge.net
(Video)

29. Análisis de Malware - Securinf
Fases Implicadas:
Análisis de Ejecución simple / Análisis Dinámico
• SysAnalyzer
http://labs.idefense.com/software/malcode.php
(Video)

30. Análisis de Malware - Securinf
Fases Implicadas:
Análisis de Ejecución simple / Análisis Dinámico
Análisis de Red
• SysAnalyzer
http://labs.idefense.com/software/malcode.php
• WireShark
http://www.wireshark.org/
(Video)

31. Análisis de Malware - Securinf

32. Análisis de Malware
David Moreno Gaviria
Comunidad DragonJAR
Encuentro de Tecnologías de la Información -
SecurInf V.3