Tema 9
El análisis dinámico observa qué hace una muestra cuando se ejecuta en un entorno controlado. Permite ver procesos, archivos, claves de registro, servicios, memoria y comunicaciones que el análisis estático solo puede sugerir.
El análisis estático permite formular hipótesis; el análisis dinámico ayuda a confirmarlas observando ejecución real. Al correr una muestra en un laboratorio aislado, podemos ver qué procesos crea, qué archivos modifica, qué claves toca, qué servicios instala y qué comunicaciones intenta realizar.
Esta etapa exige más control porque implica ejecutar código potencialmente dañino. Por eso, el laboratorio debe estar preparado antes de iniciar: snapshot limpio, red aislada, herramientas listas y plan de reversión.
El objetivo no es "ver qué pasa" de forma improvisada, sino medir cambios con método para producir conclusiones técnicas útiles.
El análisis dinámico permite observar comportamiento que puede no ser visible en el archivo en reposo.
Antes de ejecutar una muestra, la preparación debe estar completa. Activar herramientas después de la ejecución puede perder eventos críticos, especialmente aquellos que ocurren en los primeros segundos.
Una técnica básica consiste en comparar el estado del sistema antes y después de ejecutar la muestra. Esto permite identificar cambios persistentes aunque no se hayan visto en tiempo real.
| Elemento | Antes | Después |
|---|---|---|
| Procesos | Lista base del sistema limpio | Procesos nuevos, finalizados o sospechosos |
| Archivos | Estado de directorios relevantes | Creaciones, cambios, renombres o borrados |
| Registro | Claves de inicio, servicios y políticas | Persistencia, configuración o debilitamiento |
| Red | Sin tráfico malicioso esperado | DNS, conexiones, protocolos y destinos |
| Servicios y tareas | Estado conocido del sistema | Instalaciones, cambios o programaciones nuevas |
Los procesos muestran la cadena de ejecución. Una muestra puede crear procesos hijos, usar intérpretes, ejecutar herramientas legítimas, inyectar código o finalizar defensas.
Datos importantes:
El árbol de procesos ayuda a entender qué originó cada acción. Si un documento lanza un intérprete, el intérprete descarga un ejecutable y ese ejecutable crea persistencia, la cadena completa es más importante que cada proceso aislado.
Preguntas útiles:
El sistema de archivos revela instalación, persistencia, robo, cifrado o preparación de payloads. No basta con listar archivos al final; conviene observar quién creó qué, cuándo y desde qué proceso.
| Evento | Interpretación posible | Qué registrar |
|---|---|---|
| Creación de ejecutable | Dropper o componente instalado | Ruta, hash, proceso creador |
| Modificación masiva | Cifrado, borrado o transformación | Extensiones, volumen, patrón temporal |
| Lectura de documentos | Reconocimiento o exfiltración | Tipos de archivo, rutas, proceso responsable |
| Escritura en inicio | Persistencia de usuario | Archivo, ubicación y comando asociado |
| Eliminación de rastros | Limpieza o evasión | Qué se borra y cuándo |
Algunas rutas son especialmente relevantes porque se usan para persistencia, almacenamiento temporal, perfiles de usuario o configuración.
Una ruta debe interpretarse junto con el proceso, el tiempo, los permisos y el tipo de archivo afectado.
En Windows, el registro puede mostrar persistencia, configuración, políticas modificadas, servicios, asociaciones de archivo y rastros de ejecución. Es una fuente clave en análisis dinámico.
Áreas comunes de observación:
Persistencia es la capacidad de sobrevivir reinicios, cierres de sesión o finalización de procesos. El análisis dinámico debe identificar si la muestra intenta volver a ejecutarse.
| Mecanismo | Señal | Qué validar |
|---|---|---|
| Clave Run | Valor nuevo que apunta a ejecutable o script | Usuario afectado y ruta del archivo |
| Tarea programada | Tarea nueva o modificada | Disparador, comando y cuenta usada |
| Servicio | Servicio instalado o alterado | Binario, tipo de inicio y privilegios |
| Carpeta de inicio | Archivo agregado al startup | Extensión, comando y propietario |
| WMI/eventos | Suscripciones o filtros persistentes | Comando ejecutado y condición de activación |
Los servicios y tareas programadas pueden ejecutar código con privilegios altos o en momentos específicos. Son mecanismos legítimos, pero también frecuentes en malware.
Durante el análisis, registrar:
El tráfico de red puede revelar C2, descarga de payloads, exfiltración, beaconing o propagación. Debe capturarse desde antes de ejecutar la muestra y preferentemente dentro de una red controlada.
| Elemento | Qué observar | Valor defensivo |
|---|---|---|
| DNS | Dominios consultados y patrones | IOCs, DGA, infraestructura C2 |
| HTTP/HTTPS | URLs, cabeceras, métodos, tamaño y frecuencia | Descarga, beaconing, exfiltración |
| TCP/UDP | Puertos, destinos, sesiones y reintentos | Protocolos usados y comportamiento de red |
| TLS | SNI, certificados, JA3/JA4 si están disponibles | Correlación sin descifrar contenido |
| Escaneo | Conexiones repetidas a muchos hosts | Propagación o reconocimiento |
Permitir salida directa a internet puede ser riesgoso. Una muestra puede descargar componentes reales, exfiltrar datos del laboratorio, contactar infraestructura activa o cambiar su comportamiento.
Alternativas más seguras:
La memoria puede contener información que no aparece en disco: cadenas descifradas, configuración, payloads desempaquetados, claves, módulos inyectados o buffers de comunicación.
Durante análisis dinámico se puede capturar:
Algunas muestras no muestran todo su comportamiento inmediatamente. Pueden esperar tiempo, requerir conectividad, verificar idioma, dominio, usuario, fecha, privilegios, presencia de VM o actividad humana.
Señales de comportamiento condicionado:
Si una muestra parece inactiva, no necesariamente es benigna. Puede estar esperando una condición que el laboratorio no reproduce.
Una línea de tiempo convierte eventos dispersos en una historia técnica. Permite explicar qué ocurrió primero, qué proceso causó cada cambio y cómo se conectan archivos, registro, red y memoria.
Una línea de tiempo útil incluye:
El análisis dinámico permite extraer indicadores que no estaban visibles en el archivo original.
Los IOCs deben documentarse con contexto. Una IP compartida o un dominio comprometido puede tener riesgo de falso positivo si se bloquea sin análisis.
Las evidencias deben guardarse antes de restaurar la VM. Una vez restaurado el snapshot, muchos artefactos desaparecen.
| Evidencia | Formato posible | Uso posterior |
|---|---|---|
| Tráfico de red | PCAP | Análisis de protocolos, IOCs y reglas |
| Eventos de procesos | CSV, JSON, logs de herramienta | Árbol de ejecución y línea de tiempo |
| Archivos creados | Copias controladas y hashes | Análisis de payloads secundarios |
| Registro | Exportaciones o diffs | Persistencia y configuración |
| Memoria | Dumps de proceso o sistema | Strings, configuración, inyección y desempaquetado |
No todo evento observado es malicioso. Un sistema operativo genera actividad normal constantemente. El analista debe separar ruido de comportamiento relevante.
Para aumentar confianza:
La ejecución controlada reduce riesgo, pero no lo elimina. El laboratorio debe evitar fugas hacia redes reales y exposición de datos sensibles.
El análisis dinámico permite convertir capacidades probables en comportamiento observado. Bien ejecutado, revela persistencia, comunicación, cambios del sistema y artefactos que pueden usarse para detección y respuesta.
En el próximo tema estudiaremos sandboxes, snapshots, trazabilidad y control de indicadores de compromiso, profundizando en cómo automatizar y ordenar la observación sin perder control del laboratorio.