Para empezarEl malware moderno no se deja ver a simple vista; viene empaquetado, cifrado y lleno de trampas para volverte loco.
¿Qué es la ofuscación?
La ofuscación es el proceso de modificar deliberadamente el código fuente o binario de un programa para hacerlo ilegible e incomprensible para los humanos y las herramientas estáticas, sin alterar su funcionalidad maliciosa original ante su ejecución.
Técnicas comunes de ocultación
Para identificar malware ofuscado, primero debes conocer las tres técnicas principales que los desarrolladores maliciosos implementan de forma rutinaria en sus scripts y ejecutables.
Marca cada paso al entenderlo · 0/3
El muro de los antivirus
Más del 80% de las muestras de malware nuevas utilizan alguna forma básica de empaquetado u ofuscación para evitar la detección heurística inicial basada en análisis estático puro.
Detectando entropía sospechosa
Una de las formas más fiables de detectar binarios ofuscados o empaquetados en Linux es analizando su nivel de entropía con herramientas como ent. Una entropía cercana a 8.0 indica código fuertemente comprimido o cifrado.
$ ent suspicious_binary.exe
Entropy = 7.952341 bits per byte.
Optimum compression would reduce the size of this file by 1 percent.
[!] High entropy detected: Likely packed or encrypted payload.
Cuidado con el análisis estático ciego
Jamás confíes ciegamente en la primera impresión que te da un binario al abrirlo en un editor de texto plano o desensamblador. Si ves variables como 'a1', 'a2' o cadenas con codificaciones extrañas en Base64 o XOR, estás ante un binario ofuscado que requiere desofuscación dinámica.
Desofuscación y limpieza
El proceso de desofuscación consiste en revertir estas capas de transformación utilizando emuladores, scripts de Python personalizados o herramientas de depuración para extraer las cadenas y payloads reales antes de realizar un análisis profundo.
¿Te acuerdas? Toca para comprobarlo
Atajos: ← → para cambiar de pieza · / para buscar