“Desempaquetando malware y no morir en el intento”, presentada por el peruano Josue Rojas en la DragonJAR Security Conference 2016, muestra cómo identificar si una muestra está empaquetada o cifrada y cómo extraerla de ese empaque para analizarla con mayor facilidad.
Tabla de Contenido
Si buscas una explicación directa y demostrativa, esta sesión cumplió las expectativas del público. Aquí tienes el contexto, el acceso al recurso y las claves que deja el ponente.
Desempaquetar malware: lo esencial
El foco de la charla es práctico: reconocer cuándo un archivo malicioso está empaquetado o cifrado.
Una vez identificado, el siguiente paso es sacarlo del empaque para facilitar su análisis posterior.
“El Peruano Josue Rojas nos muestra cómo identificar malware empaquetado o cifrado y sacarlo de ese empaque para poderlo analizar más fácilmente.”
Contexto del evento
La ponencia fue la quinta charla de la DragonJAR Security Conference 2016.
El contenido generó grandes expectativas antes del evento y, de acuerdo con el resumen, las cumplió.
¿Qué aporta al análisis de malware?
Ofrece una guía clara para decidir si una muestra requiere desempaquetado.
Además, subraya que el desempaquetado permite entender mejor el comportamiento del código malicioso durante el análisis.
| Concepto | Aplicación |
|---|---|
| Malware empaquetado o cifrado | Primero debe identificarse para decidir el enfoque de análisis. |
| Desempaquetado | Extrae la muestra de su contenedor para facilitar el estudio. |
Metodología paso a paso
- Identificar el estado de la muestra: Determinar si está empaquetada o cifrada para orientar el proceso.
- Desempaquetar la muestra: Extraerla del empaque con el fin de analizarla con mayor facilidad.
Preguntas frecuentes
¿Quién presentó “Desempaquetando malware y no morir en el intento”?
El ponente es el peruano Josue Rojas, quien expone cómo identificar si una muestra está empaquetada o cifrada y cómo extraerla del empaque para su análisis.
¿En qué evento se impartió la charla?
Formó parte de la DragonJAR Security Conference 2016 y fue la quinta charla del evento.
¿Dónde puedo ver el contenido de la charla?
Puedes acceder al video a través del enlace incluido en el artículo base: Ver la charla en video.
Conclusión
Puntos clave: (1) Identificar si la muestra está empaquetada o cifrada. (2) Extraerla del empaque para un análisis más sencillo. (3) La sesión cumplió las expectativas del público. Si necesitas una demostración directa, revisa el video enlazado para observar el proceso.
Cómo detectar hoy si una muestra está empaquetada o cifrada
El primer paso que plantea la charla —identificar si la muestra está empaquetada o cifrada— sigue siendo el punto de partida, pero las herramientas cambiaron. Estas son las opciones gratuitas y vigentes que conviene usar hoy antes de intentar desempaquetar:
– Detect It Easy (DIE), del investigador horsicq: identificador de compiladores, empaquetadores y protectores con base de datos de firmas actualizada y mantenida (se siguen publicando versiones; el proyecto está activo en GitHub en 2026). Incluye versión consola para automatizar: `diec -j muestra.exe` (salida JSON, apta para pipelines) – capa, del equipo FLARE de Mandiant: identifica capacidades del binario (persistencia, cifrado, comunicación de red, checks anti-análisis) y las mapea a técnicas MITRE ATT&CK. Funciona sobre PE, ELF, .NET, shellcode y reportes de sandbox. Proyecto open source activo (Apache 2.0): `capa muestra.exe` – strings (binutils, presente en Linux y en REMnux): paso previo barato; un binario con casi ningún string legible es un buen indicio de empaquetado o cifrado: `strings muestra.exe | head -50` – Ghidra (NSA, open source, Apache 2.0): si DIE no reconoce el empaquetador, abrir la muestra en Ghidra (serie 12.x, versión 12.1.4 publicada en septiembre de 2026) permite inspeccionar el punto de entrada y las secciones para buscar stubs de desempaquetado manual.
Regla práctica: si DIE identifica un packer conocido (por ejemplo UPX), usa su desempaquetador nativo antes de complicarte con un debugger.
Desempaquetado con herramientas vigentes (2026)
Una vez identificado el empaque, estas son las rutas de desempaquetado recomendadas hoy:
– UPX (Ultimate Packer for eXecutables): el packer legítimo más común en malware. Sigue activamente mantenido —la serie 5.x está vigente en 2026 (5.2.x publicada en octubre de 2026)— y su propio binario revierte el empaque: `upx -d muestra.exe -o muestra_unpacked.exe` – x64dbg (open source, desarrollo activo; release 2026.05.27 verificado en octubre de 2026): el debugger estándar para desempaquetado dinámico en Windows. El flujo clásico sigue siendo válido: ejecutar hasta el OEP (Original Entry Point), hacer dump del proceso y reconstruir la tabla de imports (IAT). La comunidad mantiene scripts de desempaquetado para el ecosistema x64dbg. – Ghidra + su debugger (backends GDB, LLDB, WinDbg) o el análisis estático post-dump: tras volcar la memoria del proceso desempaquetado, Ghidra genera pseudocódigo en C legible para estudiar la lógica sin ejecutar nada. – REMnux v8 (distribución gratuita de Lenny Zeltser, lanzada en 2026 sobre Ubuntu 24.04 LTS, con más de 200 herramientas): si trabajas en Linux, REMnux ya trae preconfiguradas las utilidades de análisis estático y de red simulada, y la v8 incorpora además soporte de análisis asistido por IA (servidor MCP). Funciona como VM, contenedor Docker o instalación directa.
Nota importante: OllyDbg e Immunity Debugger, protagonistas de muchas guías antiguas de desempaquetado, están descontinuados desde hace años. Para malware moderno usa x64dbg o Ghidra, que sí reciben actualizaciones.
Laboratorio seguro y prácticas actuales: el «no morir en el intento» de 2026
El título de la charla es una advertencia que sigue vigente: nunca analices malware en tu máquina de trabajo. Prácticas mínimas actuales:
1. VM dedicada y aislada: Windows 10/11 sin red (adaptador deshabilitado o en modo host-only), sin carpetas compartidas ni portapapeles bidireccional. FLARE VM (proyecto open source de Mandiant) automatiza la construcción de una VM Windows de análisis con Chocolatey/Boxstarter; REMnux v8 cubre la parte Linux. 2. Snapshot antes de cada muestra: toma el snapshot con la VM apagada y revierte siempre después del análisis. El malware moderno detecta entornos de análisis; un snapshot limpio es tu única garantía de estado conocido. 3. Red simulada, no red real: si la muestra necesita «hablar» para mostrar su comportamiento, usa un simulador (INetSim, incluido en REMnux) en vez de darle internet de verdad. 4. Hash primero: calcula el SHA-256 de la muestra antes de tocarla y consúltalo en VirusTotal o bases públicas. Si ya está analizada, evitas repetir trabajo y reduces exposición. 5. Trabaja solo con muestras que tengas autorización para analizar (tu propio laboratorio, muestras de threat intel con licencia, o ejercicios formativos).
Si tu organización necesita analizar malware de forma recurrente —o sospecha que un incidente involucra muestras empaquetadas—, este es exactamente el tipo de trabajo que hacemos en DragonJAR: contáctanos o revisa nuestros servicios de seguridad informática.
