Reversing y antianálisis

Serie técnica dedicada al análisis de malware que modifica su ejecución según las características del entorno, la presencia de un depurador o la instrumentación del sistema.

Las entregas documentan el código, el comportamiento observado y los artefactos de las muestras analizadas. Las conclusiones se limitan a la variante estudiada. Las afirmaciones procedentes de investigaciones externas incluyen su referencia.

Nivel intermedio o avanzado. Requiere conocimientos de procesos de Windows, lectura de código, depuración y análisis de ejecutables. Las herramientas utilizadas se indican en cada entrega.

Para repasar los fundamentos de C, ensamblador y análisis de binarios, puedes seguir nuestro curso de reversing y análisis de malware, con prácticas y acompañamiento de RadarAI.

Primera entrega

RenEngine Loader: reconstrucción del motor de decisión. Análisis de la configuración y del flujo de llamadas del módulo de comprobación del entorno. La variante documentada ejecuta cinco comprobaciones de hardware y utiliza dos puntuaciones para calcular el resultado.

Entregas previstas

1. RenEngine Loader: reconstrucción del motor de decisión. Configuración, llamadas, puntuaciones y resultados del laboratorio.
2. Environmental keying. Análisis de etapas cuyo descifrado depende del entorno.
3. Medidas de tiempo y detección de hipervisores. Interpretación de comprobaciones temporales y sus límites.
4. Antidepuración y reconocimiento de la instrumentación. Trazado de comprobaciones y efectos sobre la observación.
5. Bumblebee y AsyncRAT: comparación de variantes. Casos concretos y diferencias de implementación.
6. Abuso de controladores vulnerables. Análisis de los componentes y de la evidencia disponible.
7. Interferencia con la telemetría. Estudio de la generación de eventos y de las limitaciones del análisis automatizado.
8. Técnicas recientes. Casos documentados de uso de LLM, infraestructura alternativa y manipulación de la pila de llamadas.

El alcance de las entregas posteriores depende de las muestras y de los registros de análisis disponibles.