Instructor: Otra forma de descubrir archivos maliciosos
es usar un sandbox.
Un sandbox es, básicamente, un lugar
donde se ejecutará y analizará su archivo.
Comprobarán si se abrirá algún puerto, si
modificará las entradas del registro, si
hará algo sospechoso (murmullos).
No es un programa antivirus.
Su troyano puede pasar programas antivirus como lo hicimos nosotros.
Nuestro troyano pasa todos los programas antivirus.
Pero las aplicaciones de sandbox o los entornos de sandbox lo ejecutarán
en un lugar, en un entorno controlado, y tratarán
de ver si hace algo sospechoso y le darán
un informe al respecto.
Puede Google, nuevamente, sandbox en línea.
Un ejemplo de ello es un sitio web llamado análisis híbrido.
Usar el sitio web es muy simple.
Todo lo que tiene que hacer es
ir a la URL, seleccionar su archivo y cargarlo.
Ahora, ya he hecho esto, así
que solo te
mostraré el informe porque analizar el archivo y hacer
el informe puede llevar algo de tiempo.
Una vez que
obtenga el informe, verá información básica.
Verás que
hubo indicadores maliciosos encontrados.
Ahora, se lo está ocultando, y tiene que
usar la versión completa y pagar para verlos,
pero realmente no necesita verlos.
Si lees todo
el informe, podrás saber que este archivo es malicioso
y que hará algo malo en tu computadora.
En primer lugar, puede ver que el
archivo suprime los cuadros de error.
No muestra cuadros de error.
También modifica el registro.
Puede ver los parámetros de registro que está modificando.
Puedes ver que está jugando con la configuración de Internet y
con las conexiones.
También puede ver que está utilizando el servicio de Windows Socket, por lo
que está tratando de crear conexiones.
También puede ver que está
jugando con la dirección del proceso.
Al desplazarse hacia
abajo, verá uno de los indicadores más importantes.
Ahora, obviamente, hay más información aquí.
Aquí mismo, en el lugar de
la red, verá que intenta conectarse a esta IP en el puerto 8080.
Ahora, nuevamente, puede ir a
esta IP y hacer una búsqueda inversa
de DNS, y ver que esta IP no está relacionada con ningún sitio web.
Además, esto, cuando cargue la carga útil en este lugar, nunca
se ejecutará en su computadora, se
ejecutará en su servidor en un
entorno sandbox.
Ahora, obviamente, el método que le mostré,
siempre debe hacerlo en una
caja virtual cuando lo esté ejecutando aquí en su Windows.
Siempre hazlo en una máquina
virtual, no lo hagas en tu máquina principal.
O bien, puede usar este
método donde lo carga en un entorno de espacio aislado.
Lo analizará por usted y luego
podrá leer el informe.