Análisis de Malware para sistemas windows.
- Primera Edición
- Madrid, España Ra-Ma 2018
- 553 páginas; tablas, ilustraciones; 24 x17 cm
CAPÍTULO 1. INTRODUCCIÓN CAPÍTULO 2. MOTIVOS PARA REALIZAR UN ANÁLISIS DE MALWARE CAPÍTULO 3. INGENIERÍA INVERSA DE SOFTWARE 3.1 INTRODUCCIÓN 3.2 FUNDAMENTOS DE PROGRAMACIÓN 3.3 ARQUITECTURA X86 3.4 ANÁLISIS DE CÓDIGO DE 64 BITS CAPÍTULO 4. FUNDAMENTOS DE LOS SISTEMAS OPERATIVOS MICROSOFT WINDOWS 4.1 BREVE HISTORIA 4.2 CARACTERÍSTICAS DE WINDOWS NT 4.3 COMPATIBILIDAD HARDWARE 4.4 GESTIÓN DE MEMORIA 4.5 OBJETOS Y HANDLES 4.6 PROCESOS E HILOS 4.7 API 4.8 FORMATO DE FICHERO PECOFF 4.9 ENTRADA/SALIDA 4.10 STRUCTURED EXCEPTION HANDLING. CAPÍTULO 5. VIRTUALIZACIÓN Y SANDBOXING 5.1 VIRTUALIZACIÓN 5.2 SANDBOXING. CAPÍTULO 6. CRIPTOLOGÍA 6.1 INTRODUCCIÓN 6.2 DEFINICIONES 6.3 PRINCIPIOS DE LA CRIPTOGRAFÍA CLÁSICA 6.4 PRINCIPIOS DE CRIPTOGRAFÍA MODERNA 6.5 CRIPTOGRAFÍA DE CLAVE SIMÉTRICA 6.6 CRIPTOGRAFÍA DE CLAVE ASIMÉTRICA 6.7 CIFRADO HÍBRIDO 6.8 ALGORITMOS RESUMEN (HASHING) 6.9 ALGORITMOS DE LÓGICA DIFUSA (FUZZY HASHING) Y RESÚMENES DE SIMILITUD (SIMILARITY DIGESTS) 6.10 EMPLEO DE CIFRADO Y OFUSCACIÓN POR EL MALWARE 6.11 PROTOCOLOS DE CIFRADO DE RED Y ANONIMIZACIÓN DE LAS COMUNICACIONES CAPÍTULO 7. VECTORES DE INFECCIÓN DE UN SISTEMA 7.1 PROPAGACIÓN DEL MALWARE 7.2 DISTRIBUCIÓN DE MALWARE A TRAVÉS DE LA WEB CAPÍTULO 8. CAPACIDADES DEL MALWARE 8.1 VIRUS Y GUSANOS 8.2 TROYANOS (TROJAN HORSES) 8.3 ADWARE/SPYWARE 8.4 SCAREWARE 8.5 WIPER 8.6 RANSOMWARE 8.7 DOWNLOADERS Y LAUNCHERS 8.8 PUERTAS TRASERAS (BACKDOORS) 8.9 ROOTKITS 8.10 MALWARE DE EXFILTRACIÓN DE INFORMACIÓN 8.11 ROBO DE CREDENCIALES 8.12 MALWARE A NIVEL BIOS/FIRMARE CAPÍTULO 9. COMPONENTES DEL MALWARE 9.1 FUNCIONALIDAD MODULAR 9.2 MALWARE DE MÚLTIPLES ETAPAS 9.3 EXPLOIT KITS CAPÍTULO 10. MECANISMOS DE PERSISTENCIA DEL MALWARE 10.1 INTRODUCCIÓN 10.2 PERSISTENCIA EN LAS CARPETAS DE INICIO DE MICROSOFT WINDOWS 10.3 PERSISTENCIA EN LAS TAREAS PROGRAMADAS 10.4 PERSISTENCIA EN EL REGISTRO DE MICROSOFT WINDOWS 10.5 TROYANIZACIÓN DE BINARIOS DEL SISTEMA 10.6 SECUESTRO DEL ORDEN DE CARGA DE LAS LIBRERÍAS 10.7 PERSISTENCIA EN MEMORIA DEL MALWARE 10.8 FILELESS MALWARE CAPÍTULO 11. ESCALADA DE PRIVILEGIOS 11.1 INTRODUCCIÓN 11.2 AUTORIZACIÓN EN SISTEMAS MICROSOFT WINDOWS 11.3 LOCALIZANDO EL OBJETO TOKEN 11.4 SEDEBUGPRIVILEGE CAPÍTULO 12. TÉCNICAS DE OCULTACIÓN DE MALWARE 12.1 TÉCNICAS EVASIVAS 12.2 EMPAQUETADORES (PACKERS) 12.3 CIFRADORES (CRYPTERS) 12.4 PROTECTORES (PROTECTORS) 12.5 INYECCIÓN DE CÓDIGO 12.6 ROOTKITS 12.7 API HOOKING. 12.8 DKOM 12.9 TAXONOMÍA DE LOS ROOTKITS 12.10 DETECCIÓN DE ROOTKITS CAPÍTULO 13. IDENTIFICACIÓN Y EXTRACCIÓN DEL MALWARE 13.1 INTRODUCCIÓN 13.2 DETECCIÓN DE LA CONFIGURACIÓN 13.3 MODELADO 13.4 INDICADORES 13.5 COMPORTAMIENTO DE LA AMENAZA . 13.6 COMPARACIÓN DE LAS DIFERENTES APROXIMACIONES DE DETECCIÓN DE LA AMENAZA 13.7 INDICADORES DE QUE SE HA PRODUCIDO UNA BRECHA DE SEGURIDAD CAPÍTULO 14. ETAPAS DEL ANÁLISIS DE MALWARE 14.1 INTRODUCCIÓN 14.2 ANÁLISIS COMPLETAMENTE AUTOMATIZADO 14.3 ANÁLISIS ESTÁTICO DE PROPIEDADES 14.4 ANÁLISIS INTERACTIVO DE COMPORTAMIENTO 14.5 INGENIERÍA INVERSA MANUAL DEL CÓDIGO 14.6 COMBINANDO LAS ETAPAS DE ANÁLISIS DE MALWARE CAPÍTULO 15. TÉCNICAS DE ANÁLISIS DE MALWARE 15.1 INTRODUCCIÓN 15.2 ANÁLISIS ESTÁTICO DE MALWARE 15.3 ANÁLISIS DINÁMICO DE MALWARE 15.4 ESTABLECIENDO UN ENTORNO DE ANÁLISIS DE MALWARE CAPÍTULO 16. TÉCNICAS BÁSICAS DE ANÁLISIS ESTÁTICO DE MALWARE 16.1 EMPLEO DE HERRAMIENTAS ANTIVIRUS 16.2 RESÚMENES COMO HUELLA DIGITAL DE MALWARE 16.3 BÚSQUEDA DE CADENAS DE TEXTO 16.4 BÚSQUEDA DE MUTEXES 16.5 BÚSQUEDA DE PATRONES CON YARA 16.6 IDENTIFICACIÓN DE LAS DEPENDENCIAS DE FICHEROS 16.7 ATOMS Y TABLAS ATOM 16.8 MALWARE EMPAQUETADO Y OFUSCADO 16.9 BÚSQUEDA DE LA INFORMACIÓN DE PE 16.10 DESENSAMBLADO DE CÓDIGO CAPÍTULO 17. TÉCNICAS BÁSICAS DE ANÁLISIS DINÁMICO DE MALWARE 17.1 INTRODUCCIÓN 17.2 MONITORIZACIÓN DE INSTALACIÓN DE APLICACIONES 17.3 MONITORIZACIÓN DE PROCESOS 17.4 MONITORIZACIÓN DE FICHEROS Y CARPETAS 17.5 MONITORIZACIÓN DEL REGISTRO DE WINDOWS 17.6 MONITORIZACIÓN DEL TRÁFICO DE RED DE LAS CAPAS DE RED Y TRANSPORTE 17.7 MONITORIZACIÓN/RESOLUCIÓN DNS 17.8 MONITORIZACIÓN DE TRÁFICO DE RED EN LA CAPA APLICACIÓN 17.9 MONITORIZACIÓN DE LAS LLAMADAS A LA API DE MICROSOFT WINDOWS 17.10 MONITORIZACIÓN DE CONTROLADORES DE DISPOSITIVOS 17.11 MONITORIZACIÓN DE PROGRAMAS AL INICIARSE MICROSOFT WINDOWS 17.12 MONITORIZACIÓN DE SERVICIOS EN MICROSOFT WINDOWS CAPÍTULO 18. INTERACCIÓN CON SITIOS WEB E INFRAESTRUCTURA MALICIOSA 18.1 ANONIMIZACIÓN DE LAS COMUNICACIONES 18.2 SISTEMAS Y HERRAMIENTAS DEL ANALISTA CAPÍTULO 19. ANÁLISIS DE DOCUMENTOS MALICIOSOS 19.1 METODOLOGÍA GENERAL DE ANÁLISIS DE DOCUMENTOS 19.2 ANÁLISIS DE SCRIPTS PARA POWERSHELL. 19.3 DESOFUSCACIÓN DE SCRIPTS UTILIZANDO DEPURADORES 19.4 DESOFUSCACIÓN DE SCRIPTS UTILIZANDO INTERPRETADORES388 19.5 FICHEROS HTA 19.6 ANÁLISIS DE DOCUMENTOS DE MICROSOFT OFFICE 19.7 ANÁLISIS DE FICHEROS MSG 19.8 ANÁLISIS DE DOCUMENTOS RTF 19.9 ANÁLISIS DE DOCUMENTOS PDF 19.10 ANÁLISIS DE SHELLCODE CAPÍTULO 20. TÉCNICAS AVANZADAS DE ANÁLISIS DINÁMICO DE MALWARE 20.1 ANÁLISIS DE MALWARE EMPAQUETADO 20.2 DEPURACIÓN DE CÓDIGO EMPAQUETADO 20.3 ANÁLISIS DE MALWARE QUE UTILIZA MÚLTIPLES TECNOLOGÍAS 20.4 ANÁLISIS FORENSE DEL CONTENIDO DE LA MEMORIA RAM CAPÍTULO 21. ANÁLISIS DE MALWARE QUE INCORPORA TÉCNICAS ANTIVIRTUALIZACIÓN 21.1 INTRODUCCIÓN 21.2 TÉCNICAS ANTIVIRTUALIZACIÓN 21.3 MEDIDAS ANTI-ANTIDETECCIÓN DE ENTORNOS DE ANÁLISIS DEMALWARE CAPÍTULO 22. ANÁLISIS DE MALWARE QUE INCORPORA TÉCNICAS ANTIDESENSAMBLADO 22.1 INTRODUCCIÓN 22.2 ALGORITMOS DE DESENSAMBLADO 22.3 TÉCNICAS ANTIDESENSAMBLADO 22.4 TÉCNICAS ANTIANÁLISIS DE LA PILA CAPÍTULO 23. ANÁLISIS DE MALWARE QUE IMPLEMENTA TÉCNICAS DE OFUSCACIÓN DE FLUJO DE EJECUCIÓN 23.1 INTRODUCCIÓN 23.2 PUNTEROS A FUNCIONES 23.3 EXPLOTACIÓN DE LA INSTRUCCIÓN CALL 23.4 EXPLOTACIÓN DEL PUNTERO DE RETORNO 23.5 EXPLOTACIÓN DE SEH CAPÍTULO 24. ANÁLISIS DE MALWARE QUE IMPLEMENTA TÉCNICAS ANTIDEPURACIÓN 24.1 INTRODUCCIÓN 24.2 DETECCIÓN DE ENTORNOS DE DEPURACIÓN 24.3 TÉCNICAS BASADAS EN LLAMADAS A LA API DE MICROSOFT WINDOWS 24.4 IDENTIFICANDO EL COMPORTAMIENTO DEL DEPURADOR 24.5 INTERFIRIENDO EL FUNCIONAMIENTO DEL DEPURADOR 24.6 VULNERABILIDADES EXISTENTES EN LOS DEPURADORES CAPÍTULO 25. ANALIZANDO MUESTRAS PROGRAMADAS EN .NET 25.1 INTRODUCCIÓN 25.2 INTRODUCCIÓN A .NET. 25.3 EL LENGUAJE IL 25.4 ENSAMBLADOS .NET 25.5 DECOMPILADORES 25.6 PROTECCIÓN DE CÓDIGO EN .NET 25.7 OFUSCADORES EN .NET. 25.8 EMPAQUETADORES EN .NET 25.9 ANÁLISIS DE MUESTRAS MALICIOSAS EN .NET. 25.10 INGENIERÍA INVERSA DE CÓDIGO OFUSCADO CAPÍTULO 26. COMPRENDIENDO LOS CIBERATAQUES 26.1 AGENTES DE LA AMENAZA 26.2 CATEGORIZACIÓN DE LA CIBERAMENAZA 26.3 DEFENSA DE RED BASADA EN INTELIGENCIA 26.4 PASOS PARA LA EJECUCIÓN DE UN CIBERATAQUE (CYBER KILL CHAIN) 26.5 CURSOS DE ACCIÓN 26.6 RECONSTRUCCIÓN DE UNA INTRUSIÓN 26.7 ANÁLISIS DE CAMPAÑA 26.8 MODELO EN DIAMANTE DE ANÁLISIS DE INTRUSIÓN 26.9 MODELO ATT&CK FOR ENTERPRISE 26.10 MODELO DE FIREEYE PARA EL CICLO DE VIDA DE UN CIBERATAQUE
Se considera malware cualquier tipo de software dañino contra el normal funcionamiento de un dispositivo, aplicación o red. Dentro del término malware se engloban virus, troyanos, gusanos, backdoors, rootkits, scareware, spyware, keyloggers, ransomware, etc. En general, un malware moderno incluirá varios de estos comportamientos. Esta obra compila y desgrana las principales TTP (Tácticas, Técnicas y Procedimientos) empleadas actualmente por los atacantes. Parte de estas TTP están diseñadas para comprometer la CIA (confidencialidad, integridad y disponibilidad) del sistema víctima o de la información almacenada en él. En cambio, técnicas como la ofuscación, el anti desensamblado, la anti depuración y el anti sandboxing, son específicamente implementadas por los desarrolladores de malware para impedir o dificultar la detección de la muestra maliciosa mediante la utilización de herramientas automatizadas y su análisis manual. El contenido de este libro describe una amplia metodología de análisis estático y dinámico de muestras maliciosas desarrolladas con las técnicas más actuales y avanzadas para entornos Windows sobre IA-32/64 bits. Estos conocimientos permitirán al lector: • Analizar, caracterizar y contextualizar muestras maliciosas. • Determinar el alcance del incidente. • Eliminar los artifacts maliciosos del sistema infectado. • Contribuir a la mejora de las defensas y elevar el nivel de resiliencia del sistema. • Fortalecer su capacidad para gestionar ciber incidentes relacionados con malware. Dado que se incluye el soporte teórico necesario relativo a sistemas operativos Microsoft Windows, arquitectura de computadores IA-32/IA-64 y programación (ensamblador y .NET), se trata de una obra ideal tanto para aquellos que quieran introducirse profesionalmente en el análisis de malware como un libro de referencia para analistas avanzados.
9788499647661
Herencia Variables Módulos Árboles VAD API del sistema Subsistema Win32 Cifrado Codificación Reverse shell Process PowerShell