Análisis de Malware para sistemas windows.

CAPÍTULO 1. INTRODUCCIÓN
CAPÍTULO 2. MOTIVOS PARA REALIZAR UN ANÁLISIS DE MALWARE
CAPÍTULO 3. INGENIERÍA INVERSA DE SOFTWARE
3.1 INTRODUCCIÓN
3.2 FUNDAMENTOS DE PROGRAMACIÓN
3.3 ARQUITECTURA X86
3.4 ANÁLISIS DE CÓDIGO DE 64 BITS
CAPÍTULO 4. FUNDAMENTOS DE LOS SISTEMAS OPERATIVOS MICROSOFT WINDOWS
4.1 BREVE HISTORIA
4.2 CARACTERÍSTICAS DE WINDOWS NT
4.3 COMPATIBILIDAD HARDWARE
4.4 GESTIÓN DE MEMORIA
4.5 OBJETOS Y HANDLES
4.6 PROCESOS E HILOS
4.7 API
4.8 FORMATO DE FICHERO PECOFF
4.9 ENTRADA/SALIDA
4.10 STRUCTURED EXCEPTION HANDLING.
CAPÍTULO 5. VIRTUALIZACIÓN Y SANDBOXING
5.1 VIRTUALIZACIÓN
5.2 SANDBOXING.
CAPÍTULO 6. CRIPTOLOGÍA
6.1 INTRODUCCIÓN
6.2 DEFINICIONES
6.3 PRINCIPIOS DE LA CRIPTOGRAFÍA CLÁSICA
6.4 PRINCIPIOS DE CRIPTOGRAFÍA MODERNA
6.5 CRIPTOGRAFÍA DE CLAVE SIMÉTRICA
6.6 CRIPTOGRAFÍA DE CLAVE ASIMÉTRICA
6.7 CIFRADO HÍBRIDO
6.8 ALGORITMOS RESUMEN (HASHING)
6.9 ALGORITMOS DE LÓGICA DIFUSA (FUZZY HASHING) Y RESÚMENES DE SIMILITUD (SIMILARITY DIGESTS)
6.10 EMPLEO DE CIFRADO Y OFUSCACIÓN POR EL MALWARE
6.11 PROTOCOLOS DE CIFRADO DE RED Y ANONIMIZACIÓN DE LAS COMUNICACIONES
CAPÍTULO 7. VECTORES DE INFECCIÓN DE UN SISTEMA
7.1 PROPAGACIÓN DEL MALWARE
7.2 DISTRIBUCIÓN DE MALWARE A TRAVÉS DE LA WEB
CAPÍTULO 8. CAPACIDADES DEL MALWARE
8.1 VIRUS Y GUSANOS
8.2 TROYANOS (TROJAN HORSES)
8.3 ADWARE/SPYWARE
8.4 SCAREWARE
8.5 WIPER
8.6 RANSOMWARE
8.7 DOWNLOADERS Y LAUNCHERS
8.8 PUERTAS TRASERAS (BACKDOORS)
8.9 ROOTKITS
8.10 MALWARE DE EXFILTRACIÓN DE INFORMACIÓN
8.11 ROBO DE CREDENCIALES
8.12 MALWARE A NIVEL BIOS/FIRMARE
CAPÍTULO 9. COMPONENTES DEL MALWARE
9.1 FUNCIONALIDAD MODULAR
9.2 MALWARE DE MÚLTIPLES ETAPAS
9.3 EXPLOIT KITS
CAPÍTULO 10. MECANISMOS DE PERSISTENCIA DEL MALWARE
10.1 INTRODUCCIÓN
10.2 PERSISTENCIA EN LAS CARPETAS DE INICIO DE MICROSOFT WINDOWS
10.3 PERSISTENCIA EN LAS TAREAS PROGRAMADAS
10.4 PERSISTENCIA EN EL REGISTRO DE MICROSOFT WINDOWS
10.5 TROYANIZACIÓN DE BINARIOS DEL SISTEMA
10.6 SECUESTRO DEL ORDEN DE CARGA DE LAS LIBRERÍAS
10.7 PERSISTENCIA EN MEMORIA DEL MALWARE
10.8 FILELESS MALWARE
CAPÍTULO 11. ESCALADA DE PRIVILEGIOS
11.1 INTRODUCCIÓN
11.2 AUTORIZACIÓN EN SISTEMAS MICROSOFT WINDOWS
11.3 LOCALIZANDO EL OBJETO TOKEN
11.4 SEDEBUGPRIVILEGE
CAPÍTULO 12. TÉCNICAS DE OCULTACIÓN DE MALWARE
12.1 TÉCNICAS EVASIVAS
12.2 EMPAQUETADORES (PACKERS)
12.3 CIFRADORES (CRYPTERS)
12.4 PROTECTORES (PROTECTORS)
12.5 INYECCIÓN DE CÓDIGO
12.6 ROOTKITS
12.7 API HOOKING.
12.8 DKOM
12.9 TAXONOMÍA DE LOS ROOTKITS
12.10 DETECCIÓN DE ROOTKITS
CAPÍTULO 13. IDENTIFICACIÓN Y EXTRACCIÓN DEL MALWARE
13.1 INTRODUCCIÓN
13.2 DETECCIÓN DE LA CONFIGURACIÓN
13.3 MODELADO
13.4 INDICADORES
13.5 COMPORTAMIENTO DE LA AMENAZA .
13.6 COMPARACIÓN DE LAS DIFERENTES APROXIMACIONES DE DETECCIÓN DE LA AMENAZA
13.7 INDICADORES DE QUE SE HA PRODUCIDO UNA BRECHA DE SEGURIDAD
CAPÍTULO 14. ETAPAS DEL ANÁLISIS DE MALWARE
14.1 INTRODUCCIÓN
14.2 ANÁLISIS COMPLETAMENTE AUTOMATIZADO
14.3 ANÁLISIS ESTÁTICO DE PROPIEDADES
14.4 ANÁLISIS INTERACTIVO DE COMPORTAMIENTO
14.5 INGENIERÍA INVERSA MANUAL DEL CÓDIGO
14.6 COMBINANDO LAS ETAPAS DE ANÁLISIS DE MALWARE
CAPÍTULO 15. TÉCNICAS DE ANÁLISIS DE MALWARE
15.1 INTRODUCCIÓN
15.2 ANÁLISIS ESTÁTICO DE MALWARE
15.3 ANÁLISIS DINÁMICO DE MALWARE
15.4 ESTABLECIENDO UN ENTORNO DE ANÁLISIS DE MALWARE
CAPÍTULO 16. TÉCNICAS BÁSICAS DE ANÁLISIS ESTÁTICO DE MALWARE
16.1 EMPLEO DE HERRAMIENTAS ANTIVIRUS
16.2 RESÚMENES COMO HUELLA DIGITAL DE MALWARE
16.3 BÚSQUEDA DE CADENAS DE TEXTO
16.4 BÚSQUEDA DE MUTEXES
16.5 BÚSQUEDA DE PATRONES CON YARA
16.6 IDENTIFICACIÓN DE LAS DEPENDENCIAS DE FICHEROS
16.7 ATOMS Y TABLAS ATOM
16.8 MALWARE EMPAQUETADO Y OFUSCADO
16.9 BÚSQUEDA DE LA INFORMACIÓN DE PE
16.10 DESENSAMBLADO DE CÓDIGO
CAPÍTULO 17. TÉCNICAS BÁSICAS DE ANÁLISIS DINÁMICO DE MALWARE
17.1 INTRODUCCIÓN
17.2 MONITORIZACIÓN DE INSTALACIÓN DE APLICACIONES
17.3 MONITORIZACIÓN DE PROCESOS
17.4 MONITORIZACIÓN DE FICHEROS Y CARPETAS
17.5 MONITORIZACIÓN DEL REGISTRO DE WINDOWS
17.6 MONITORIZACIÓN DEL TRÁFICO DE RED DE LAS CAPAS DE RED Y TRANSPORTE
17.7 MONITORIZACIÓN/RESOLUCIÓN DNS
17.8 MONITORIZACIÓN DE TRÁFICO DE RED EN LA CAPA APLICACIÓN
17.9 MONITORIZACIÓN DE LAS LLAMADAS A LA API DE MICROSOFT WINDOWS
17.10 MONITORIZACIÓN DE CONTROLADORES DE DISPOSITIVOS
17.11 MONITORIZACIÓN DE PROGRAMAS AL INICIARSE MICROSOFT WINDOWS
17.12 MONITORIZACIÓN DE SERVICIOS EN MICROSOFT WINDOWS
CAPÍTULO 18. INTERACCIÓN CON SITIOS WEB E INFRAESTRUCTURA MALICIOSA
18.1 ANONIMIZACIÓN DE LAS COMUNICACIONES
18.2 SISTEMAS Y HERRAMIENTAS DEL ANALISTA
CAPÍTULO 19. ANÁLISIS DE DOCUMENTOS MALICIOSOS
19.1 METODOLOGÍA GENERAL DE ANÁLISIS DE DOCUMENTOS
19.2 ANÁLISIS DE SCRIPTS PARA POWERSHELL.
19.3 DESOFUSCACIÓN DE SCRIPTS UTILIZANDO DEPURADORES
19.4 DESOFUSCACIÓN DE SCRIPTS UTILIZANDO INTERPRETADORES388
19.5 FICHEROS HTA
19.6 ANÁLISIS DE DOCUMENTOS DE MICROSOFT OFFICE
19.7 ANÁLISIS DE FICHEROS MSG
19.8 ANÁLISIS DE DOCUMENTOS RTF
19.9 ANÁLISIS DE DOCUMENTOS PDF
19.10 ANÁLISIS DE SHELLCODE
CAPÍTULO 20. TÉCNICAS AVANZADAS DE ANÁLISIS DINÁMICO DE MALWARE
20.1 ANÁLISIS DE MALWARE EMPAQUETADO
20.2 DEPURACIÓN DE CÓDIGO EMPAQUETADO
20.3 ANÁLISIS DE MALWARE QUE UTILIZA MÚLTIPLES TECNOLOGÍAS
20.4 ANÁLISIS FORENSE DEL CONTENIDO DE LA MEMORIA RAM
CAPÍTULO 21. ANÁLISIS DE MALWARE QUE INCORPORA TÉCNICAS ANTIVIRTUALIZACIÓN
21.1 INTRODUCCIÓN
21.2 TÉCNICAS ANTIVIRTUALIZACIÓN
21.3 MEDIDAS ANTI-ANTIDETECCIÓN DE ENTORNOS DE ANÁLISIS DEMALWARE
CAPÍTULO 22. ANÁLISIS DE MALWARE QUE INCORPORA TÉCNICAS ANTIDESENSAMBLADO
22.1 INTRODUCCIÓN
22.2 ALGORITMOS DE DESENSAMBLADO
22.3 TÉCNICAS ANTIDESENSAMBLADO
22.4 TÉCNICAS ANTIANÁLISIS DE LA PILA
CAPÍTULO 23. ANÁLISIS DE MALWARE QUE IMPLEMENTA TÉCNICAS DE OFUSCACIÓN DE FLUJO DE EJECUCIÓN
23.1 INTRODUCCIÓN
23.2 PUNTEROS A FUNCIONES
23.3 EXPLOTACIÓN DE LA INSTRUCCIÓN CALL
23.4 EXPLOTACIÓN DEL PUNTERO DE RETORNO
23.5 EXPLOTACIÓN DE SEH
CAPÍTULO 24. ANÁLISIS DE MALWARE QUE IMPLEMENTA TÉCNICAS ANTIDEPURACIÓN
24.1 INTRODUCCIÓN
24.2 DETECCIÓN DE ENTORNOS DE DEPURACIÓN
24.3 TÉCNICAS BASADAS EN LLAMADAS A LA API DE MICROSOFT WINDOWS
24.4 IDENTIFICANDO EL COMPORTAMIENTO DEL DEPURADOR
24.5 INTERFIRIENDO EL FUNCIONAMIENTO DEL DEPURADOR
24.6 VULNERABILIDADES EXISTENTES EN LOS DEPURADORES
CAPÍTULO 25. ANALIZANDO MUESTRAS
PROGRAMADAS EN .NET
25.1 INTRODUCCIÓN
25.2 INTRODUCCIÓN A .NET.
25.3 EL LENGUAJE IL
25.4 ENSAMBLADOS .NET
25.5 DECOMPILADORES
25.6 PROTECCIÓN DE CÓDIGO EN .NET
25.7 OFUSCADORES EN .NET.
25.8 EMPAQUETADORES EN .NET
25.9 ANÁLISIS DE MUESTRAS MALICIOSAS EN .NET.
25.10 INGENIERÍA INVERSA DE CÓDIGO OFUSCADO
CAPÍTULO 26. COMPRENDIENDO LOS CIBERATAQUES
26.1 AGENTES DE LA AMENAZA
26.2 CATEGORIZACIÓN DE LA CIBERAMENAZA
26.3 DEFENSA DE RED BASADA EN INTELIGENCIA
26.4 PASOS PARA LA EJECUCIÓN DE UN CIBERATAQUE (CYBER KILL CHAIN)
26.5 CURSOS DE ACCIÓN
26.6 RECONSTRUCCIÓN DE UNA INTRUSIÓN
26.7 ANÁLISIS DE CAMPAÑA
26.8 MODELO EN DIAMANTE DE ANÁLISIS DE INTRUSIÓN
26.9 MODELO ATT&CK FOR ENTERPRISE
26.10 MODELO DE FIREEYE PARA EL CICLO DE VIDA DE UN CIBERATAQUE

Se considera malware cualquier tipo de software dañino contra el normal funcionamiento de un dispositivo, aplicación o red. Dentro del término malware se engloban virus, troyanos, gusanos, backdoors, rootkits, scareware, spyware, keyloggers, ransomware, etc. En general, un malware moderno incluirá varios de estos comportamientos.
Esta obra compila y desgrana las principales TTP (Tácticas, Técnicas y Procedimientos) empleadas actualmente por los atacantes. Parte de estas TTP están diseñadas para comprometer la CIA (confidencialidad, integridad y disponibilidad) del sistema víctima o de la información almacenada en él. En cambio, técnicas como la ofuscación, el anti desensamblado, la anti depuración y el anti sandboxing, son específicamente implementadas por los desarrolladores de malware para impedir o dificultar la detección de la muestra maliciosa mediante la utilización de herramientas automatizadas y su análisis manual.
El contenido de este libro describe una amplia metodología de análisis estático y dinámico de muestras maliciosas desarrolladas con las técnicas más actuales y avanzadas para entornos Windows sobre IA-32/64 bits. Estos conocimientos permitirán al lector:
• Analizar, caracterizar y contextualizar muestras maliciosas.
• Determinar el alcance del incidente.
• Eliminar los artifacts maliciosos del sistema infectado.
• Contribuir a la mejora de las defensas y elevar el nivel de resiliencia del sistema.
• Fortalecer su capacidad para gestionar ciber incidentes relacionados con malware.
Dado que se incluye el soporte teórico necesario relativo a sistemas operativos Microsoft Windows, arquitectura de computadores IA-32/IA-64 y programación (ensamblador y .NET), se trata de una obra ideal tanto para aquellos que quieran introducirse profesionalmente en el análisis de malware como un libro de referencia para analistas avanzados.