El análisis de malware estudia un programa malicioso para entender qué hace y cómo. Es la pieza que conecta el forense con la inteligencia de amenazas.
Regla de oro: aislamiento
Nunca se analiza malware en un equipo normal ni en la red de producción. Se usa un laboratorio aislado (máquina virtual desconectada, sandbox) del que el malware no pueda escapar. Es como estudiar un patógeno en un laboratorio sellado.
Dos enfoques complementarios
| Enfoque | Qué es | Pros / contras |
|---|---|---|
| Estático | Examinar el archivo sin ejecutarlo (estructura, cadenas de texto, funciones que invoca) | Seguro; pero el malware suele estar empaquetado/ofuscado para esconderse |
| Dinámico | Ejecutarlo en el laboratorio y observar su comportamiento (archivos, registro, red) | Revela lo que hace de verdad; requiere entorno controlado |
Qué se obtiene
- Propósito del malware: robar datos, cifrar (ransomware), abrir una puerta trasera, etc.
- Indicadores de compromiso (IOCs): direcciones, dominios, hashes, archivos que crea.
Esos IOCs se cargan en el SIEM y el EDR para detectar el mismo malware en otras máquinas. Así el análisis alimenta la threat intelligence del Blue Team.
Cierre del pilar
El DFIR cubre el después del ataque: cadena de custodia, adquisición, análisis (disco, memoria, artefactos), línea de tiempo y el ciclo de respuesta. El siguiente pilar cambia de plano: las reglas, normas y gestión del riesgo. Es el GRC y Cumplimiento.