LecturaBienvenida al curso
Bienvenido a Análisis de malware: estático y sandbox. En las próximas horas va a tomar un archivo sospechoso y responder, con método y sin adivinar, tres preguntas: qué es, qué hace y cómo lo detecto la próxima vez. Lo hará siempre como defensor y siempre sin riesgo, porque en este curso nunca se descarga ni se ejecuta malware real.
Qué va a lograr
- Montar un laboratorio aislado con instantáneas y entender por qué cada pieza protege su equipo y su red.
- Clasificar una muestra por su hash, su tipo de archivo real y su posible familia antes de abrirla.
- Perfilar un binario con análisis estático: strings, cabeceras PE, imports, entropía y una regla YARA propia.
- Leer un reporte de sandbox e identificar persistencia, cambios en el sistema y mando y control.
- Convertir los hallazgos en indicadores de compromiso, mapearlos a MITRE ATT&CK y escribir una ficha de detección.
Para quién es y qué necesita
Este curso es para analistas de SOC, personas de respuesta a incidentes y entusiastas de la seguridad que ya se mueven con soltura. Conviene haber hecho Introducción al análisis forense digital: damos por sabidos los hashes, la cadena de custodia y el trabajo en una máquina virtual. Si quiere llegar más preparado, las píldoras YARA: reglas para reconocer archivos y CyberChef: la navaja suiza del analista le darán dos herramientas que usaremos sin volver a explicarlas desde cero.
Para practicar necesita:
- Una máquina virtual Windows o Linux dedicada, con capacidad de tomar instantáneas y de quedar sin red.
- Las salidas y los archivos de ejemplo que el curso le entrega en cada laboratorio.
- Unos 30 minutos por sesión.
Cómo está organizado
| Módulo | Qué aprende | Laboratorio |
|---|---|---|
| 1. Triage seguro y clasificación | Laboratorio aislado, hashes, tipo de archivo y familias | Triage de una muestra de ejemplo |
| 2. Análisis estático | strings, cabeceras PE, imports, empaquetado y YARA | Perfilar un binario y escribir una regla |
| 3. Análisis dinámico en sandbox | Ejecución observada, IOCs de comportamiento, sandboxes | Leer un reporte de sandbox |
| 4. De muestra a detección | IOCs, MITRE ATT&CK, detecciones e informe | Convertir hallazgos en una ficha de detección |
| Evaluación | 6 preguntas sobre todo el curso | Aprueba con 70 por ciento |
Cómo aprovecharlo
- Lecciones: cada herramienta se presenta con una ficha la primera vez; después solo se usa.
- Preguntas rápidas: al final de casi cada lección hay una pregunta de repaso que le confirma si entendió antes de seguir.
- Laboratorios: terminan con una misión que usted mismo puede comprobar; no los salte, porque ahí se aprende de verdad.
- Evaluación final: seis preguntas que repasan todo el curso. Al aprobarla recibe su certificado y suma XP e insignias.
Un consejo: escriba los comandos en vez de copiarlos y pegarlos. Equivocarse en el laboratorio es gratis; equivocarse con una muestra real, no.
Tiempo estimado
El curso completo toma unas cuatro horas. Le sugerimos una lección por sesión y hacer cada laboratorio el mismo día que su módulo, mientras las ideas están frescas.