Desde el triaje estático de malware hasta el desempaquetado con x64dbg, técnicas de evasión anti-debugging, análisis de inyección de procesos y hollowing, extracción de configuraciones C2 e informes DFIR mapeados con MITRE ATT&CK — todo en laboratorios FLARE-VM aislados con herramientas profesionales.
Herramientas de laboratorio que usarás
Domina los fundamentos del análisis de malware en Windows: triage estático, ejecución dinámica, detección de C2, seguimiento de persistencia y mapeo MITRE ATT&CK en un entorno de laboratorio FLARE-VM guiado.
119 EUR
Análisis de malware Windows intermedio: evasión anti-debug y sandbox, desempaquetado manual con x64dbg y ScyllaHide, detección de inyección y vaciado de procesos, extracción de configuraciones C2 y redacción de informes DFIR.
159 EUR
Obtén los cursos Beginner + Intermediate agrupados juntos y desbloquea extras exclusivos.
Cada fase corresponde a un módulo del curso. Desplázate para ver tu progresión completa, desde los fundamentos de principiante hasta el dominio intermedio.
Fase 1
PrincipianteAntes de tocar una muestra levantas el entorno y aprendes para qué sirve de verdad cada instrumento que hay dentro.
Fase 2
PrincipianteLa mayoría de decisiones de triaje se toman antes de ejecutar nada. Aprendes a leer qué declara un binario sobre sí mismo y dónde miente.
Fase 3
PrincipianteDetonación bajo observación, donde registras qué le hace la muestra a una máquina en vez de deducirlo de su código.
Fase 4
PrincipianteLo que una muestra dice por la red suele ser el camino más rápido a para qué sirve y a quién la opera.
Fase 5
IntermedioUna muestra empaquetada solo te enseña el envoltorio. Aquí aprendes a alcanzar el código que de verdad se ejecuta.
Fase 6
IntermedioLas familias serias comprueban si las están observando. Aprendes qué miran y cómo pasar desapercibido.
Fase 7
IntermedioEl malware actual casi nunca se ejecuta como sí mismo. Esta fase va de encontrarlo escondido dentro de procesos legítimos.
Fase 8
IntermedioEl análisis solo rinde si atrapa a la siguiente variante. Terminas produciendo algo que un equipo defensivo pueda desplegar.
La ruta de Malware en Windows te lleva desde abrir por primera vez un binario desconocido hasta producir un informe sobre el que un equipo de respuesta a incidentes pueda actuar. Está construida alrededor del trabajo que hace un analista de verdad: decidir rápido si una muestra importa, entender qué le hace a una máquina, y convertir ese entendimiento en detección que atrape a la siguiente.
El orden es deliberado. Primero triaje estático, porque es rápido y no implica riesgo de ejecución. Después análisis dinámico en un laboratorio aislado, donde el comportamiento que el análisis estático solo insinúa se vuelve observable. Luego depuración y desempaquetado, porque la mayoría de muestras reales vienen empaquetadas y todo lo anterior solo vio el envoltorio. Y por último extracción de configuración y escritura de detección, que es lo que hace el análisis útil para alguien que no seas tú.
Cada fase ocurre sobre muestras reales en un entorno FLARE-VM aislado, no sobre binarios de juguete escritos para ser fáciles. Los laboratorios corren en máquinas virtuales desechables que puedes romper sin consecuencias, y cada uno termina con una flag de validación para que sepas que diste con la respuesta y no con algo que lo parecía.
La ruta usa más herramientas de las que caben aquí. Estas son las que definen el trabajo.
| Herramienta | Categoría | Para qué |
|---|---|---|
| FLARE-VM | Entorno | La distribución de análisis de Mandiant, el entorno sobre el que corre cada laboratorio |
| PE-Studio | Análisis estático | Triaje inicial de cabeceras PE, importaciones y recursos, sin ejecutar nada |
| x64dbg | Depuración | Recorrer muestras empaquetadas hasta alcanzar la carga útil ya desempaquetada en memoria |
| ScyllaHide | Anti-antidepuración | Ocultar el depurador a las muestras que comprueban si se las está analizando |
| PE-sieve / HollowsHunter | Detección de inyección | Localizar process hollowing y código inyectado en un sistema vivo |
| Procmon | Análisis dinámico | Registrar cada operación de fichero, registro y proceso que realiza la muestra |
| FakeNet-NG | Simulación de red | Responder al tráfico C2 para que la muestra siga ejecutándose sin salida real |
| YARA | Detección | Convertir lo hallado en una regla que atrape a la familia, no solo a la muestra |
Estructurado como lo consume un equipo de respuesta: hallazgos, evidencias y qué hacer
Escritas desde características que extrajiste tú, probadas contra muestras relacionadas
Sacada de una muestra empaquetada, el entregable que más necesita inteligencia de amenazas
El comportamiento traducido al vocabulario común en el que trabaja detección
El análisis de malware está en el punto donde se cruzan el SOC, la respuesta a incidentes y la inteligencia de amenazas, así que las capacidades se transfieren a varios puestos en vez de encerrarte en uno.
Revierte muestras, extrae indicadores y configuraciones, y documenta capacidades
Reconstruye intrusiones a partir de disco, memoria y registros
Convierte comportamiento adversario observado en reglas que disparan de forma fiable
Sigue familias y actores en el tiempo e informa a quien decide
Respuestas completas sobre esta ruta, laboratorios, certificados y reembolsos
Para empezar, no. El curso de principiante trabaja al nivel de comportamiento e indicadores estáticos, e introduce ensamblador poco a poco donde hace falta. El intermedio sí exige leer desensamblado con soltura, y para entonces habrás ido construyendo esa base.
Solo dentro de un laboratorio correctamente aislado, que es lo primero que cubre la ruta antes de manipular ninguna muestra. Además los laboratorios corren en máquinas virtuales desechables en la nube, así que puedes completar la ruta sin exponer tu hardware.
Las herramientas cambian cada dos años; el método no. La ruta se organiza alrededor de las decisiones que toma un analista y por qué, y las herramientas aparecen donde responden a una pregunta que ya te estabas haciendo, no como catálogo.
Los dos cursos suman unas 40 horas de material, pero el ritmo lo marca el trabajo de laboratorio. La mayoría lo reparte en dos o tres meses compaginándolo con un empleo.
Podrás triarlo, observar su comportamiento con seguridad, extraer indicadores y escribir detección. El reversing profundo de la criptografía de una familia sofisticada es una especialización posterior, pero esta ruta es la base sobre la que se construye.
Cada curso emite un certificado HTK al completarlo, y con los dos cubres la ruta entera. El certificado refleja trabajo de laboratorio realmente terminado, porque cada laboratorio se valida por flag y no por asistencia.
