Área de investigación · Análisis binario y forense Agentic
Del binario a la ruta de ataque: comprender el código malicioso, derivar la detección
Un análisis de malware solo concluye cuando el comportamiento comprendido se convierte en detección. Combinamos el reverse engineering asistido por IA con la práctica forense: en VamiReverse, agentes especializados asisten a analistas que revisan las reglas, los IOC y la asignación a MITRE ATT&CK — hasta el compromise assessment, que rastrea su entorno en busca precisamente de esas huellas.
- Análisis multiagente
- APK · PE/ELF · .NET
- YARA · Sigma · Suricata
- IOC y MITRE ATT&CK
- Frida
- Compromise Assessment
- Honeypots y engaño
- Deep Dives
- 4
- Whitepapers
- 0
- Soluciones
- 1
Por qué el análisis solo termina con la detección y la limpieza
Los atacantes suelen pasar desapercibidos: según Mandiant M-Trends 2026, el tiempo de permanencia mediano global en 2025 fue de 14 días, y solo el 52 % de los incidentes analizados se detectaron internamente. Una sola muestra responde a pocas preguntas. Lo que se necesita es el comportamiento, los mecanismos de persistencia y las vías de comunicación, indicadores con los que rastrear el propio entorno y reglas de detección derivadas de ellos.
VamiReverse interviene aquí: agentes especializados se apoyan en herramientas que operamos nosotros mismos, como Ghidra, ILSpy y jadx, y analizan apps Android (APK) y programas para Windows y Linux (PE/ELF, incluido .NET). Entregan pseudocódigo anotado por IA, análisis de comportamiento, hipótesis de vulnerabilidades, reglas YARA, Sigma y Suricata, IOC y la asignación a ATT&CK. Las apps Android pueden analizarse de forma dinámica con Frida en sandbox y emulador; la IA propone y los analistas revisan.
Nuestro informe de situación del 31 de octubre de 2026 sobre la extensión de Claude Code manipulada muestra cómo son estos indicadores: una clave SSH con el comentario svc-telemetry, el LaunchAgent com.apple.sysmond o, en su caso, la tarea programada SysMon y conexiones salientes a un servidor de los atacantes. Los datos se basan en el aviso de seguridad de Cursor y en análisis de OpenSourceMalware y StepSecurity: justo el tipo de huellas que busca un compromise assessment.
Preguntas abiertas de la práctica
- 01
¿Hasta qué punto se puede delegar el análisis de malware en agentes de IA?
Nuestro enfoque
Hasta donde los analistas revisen los resultados. En VamiReverse, agentes especializados asisten a los analistas en lugar de sustituirlos: clasifican el comportamiento, proponen reglas y elaboran un informe de análisis. La plataforma se opera como SaaS en T Cloud Public, exclusivamente en centros de datos alemanes, o, a petición, on-premise; el LLM es a su elección y no se entrena la IA con datos de clientes.
- 02
¿Cuándo basta un barrido de IOC y cuándo hace falta una búsqueda basada en el comportamiento?
Nuestro enfoque
Los barridos de IOC contrastan los artefactos forenses con indicadores conocidos, como hashes de archivos, direcciones IP y dominios; encuentran lo que ya se conoce. Los análisis basados en TTP buscan técnicas de ataque a partir de MITRE ATT&CK y detectan así también actividad sin firma conocida. En el compromise assessment combinamos ambos con telemetría EDR; los analistas validan manualmente los resultados llamativos.
- 03
¿Qué queda en el equipo después de eliminar una extensión manipulada?
Nuestro enfoque
En el caso de la extensión de Claude Code, una clave SSH, scripts y un LaunchAgent o una tarea programada permanecieron tras la desinstalación. El orden importa: desconectar el equipo y preservar las evidencias, eliminar la persistencia, después instalar la versión limpia y cambiar las credenciales desde un equipo limpio. A continuación, un compromise assessment aclara si hubo actividad posterior.
- 04
¿Qué revelan los honeypots sobre las herramientas de un atacante?
Nuestro enfoque
Depende del nivel de interacción. Los honeypots de baja interacción emulan servicios solo de forma superficial y ofrecen información limitada. Los honeypots de alta interacción proporcionan sistemas reales y permiten análisis profundos de las herramientas y los modos de proceder, pero exigen una protección considerablemente mayor. Para que un señuelo comprometido no se convierta en trampolín, limitamos estrictamente el tráfico saliente.
Lo que constatamos
- 01
Los nombres de las variables de entorno ya delatan accesos
El cargador de la extensión de Claude Code manipulada se situaba al comienzo de extension.js, antes del código propiamente dicho, y se ejecutaba ya al cargarse; no hacía falta ninguna conversación con Claude. Se transmitieron un perfil del equipo y los nombres de las variables de entorno; según los análisis realizados hasta ahora, no sus valores. Esos nombres, por sí solos, ya revelan dónde hay accesos.
- 02
Un resultado negativo solo es válido para los datos disponibles
Un compromise assessment ofrece una instantánea para un alcance y un periodo definidos. Si no encuentra actividad de atacantes, eso no demuestra una ausencia absoluta de compromiso. Además, muchos assessments arrojan hallazgos estructurales: carencias en el registro de eventos y en la sensórica, una retención de logs demasiado corta, debilidades que dificultan un análisis forense posterior.
Fuente: Compromise Assessment
- 03
Los datos de incidentes son evidencias, también sin persecución penal
Según NIST SP 800-61 Rev. 3, deben preservarse la integridad y la procedencia de los datos de incidentes recopilados; ISO/IEC 27037 describe para ello la identificación, la recopilación, la adquisición y la preservación, con valores hash y chain of custody. Para el análisis, esto significa: asegurar primero los datos volátiles, como la memoria RAM, y no reinstalar precipitadamente los sistemas comprometidos, porque eso destruye evidencias.
Fuente: Incident Response
- 04
La calidad de detección supera al grado de cobertura
MITRE ATT&CK cataloga técnicas observadas, pero no es ni un catálogo de medidas ni una checklist de cumplimiento. Los heatmaps de cobertura pueden generar una falsa sensación de seguridad cuando muchas reglas débiles cubren las técnicas solo nominalmente. Las reglas procedentes del análisis de malware solo surten efecto cuando se recopila la fuente de datos adecuada y la detección se ha probado frente al comportamiento real de los atacantes.
Fuente: MITRE ATT&CK
Cómo procedemos
El análisis estático y el dinámico aportan hipótesis. Solo se vuelven sólidas mediante la revisión de los analistas, la asignación a MITRE ATT&CK y la búsqueda en el entorno afectado.
Análisis binario agéntico
Agentes especializados sobre Ghidra, ILSpy y jadx: pseudocódigo anotado por IA, análisis de comportamiento e hipótesis de vulnerabilidades para APK y PE/ELF, incluido .NET.
Análisis dinámico de Android
Las apps Android se ejecutan con Frida en sandbox y emulador y se analizan en tiempo de ejecución.
Reglas de detección e IOC
Reglas YARA, Sigma y Suricata, indicadores de compromiso y la asignación a MITRE ATT&CK como resultado verificable del análisis.
Barridos de IOC y TTP
Contrastar artefactos forenses con indicadores conocidos y buscar técnicas de ataque con un enfoque de comportamiento, complementado con telemetría EDR y validación manual.
Preservación de evidencias según ISO/IEC 27037
Identificación, recopilación, adquisición y preservación de evidencias digitales, con copias de trabajo, valores hash y una chain of custody sin lagunas.
Honeypots y honeynets
Señuelos de apariencia realista en segmentos de honeynet aislados para observar las técnicas de los atacantes, estrictamente separados de la red productiva; el engaño termina en el límite de la propia red.
Cómo empezar
- 1Preservar y diseccionar el artefactoPreservar la muestra con rigor forense, analizarla de forma estática y dinámica, y determinar el comportamiento, la persistencia y las vías de comunicación.
- 2Derivar y verificar la detecciónLos analistas revisan las propuestas de los agentes y derivan reglas, IOC y la asignación a ATT&CK, documentadas de forma trazable en el informe de análisis.
- 3Rastrear y limpiar el entornoBarridos de IOC y TTP en el compromise assessment; en caso de compromiso activo, transición estructurada a la respuesta a incidentes, con limpieza y cambio de credenciales.
Deep Dives, whitepapers y análisis
Deep Dives 4
Del área a la implantación
Áreas de investigación relacionadas
¿Un archivo sospechoso o un comportamiento anómalo en la red?
Analizamos muestras, revisamos su entorno en un compromise assessment y acompañamos la limpieza. Ante una sospecha urgente, nuestro CSIRT está disponible en todo momento en csirt@vamisec.com.