Análisis de comportamiento

Hallazgos basados en heurística

Muy bien, entremos en lo bueno: el análisis del comportamiento. Cuckoo Sandbox no se trata sólo de observar; se trata de hacer conjeturas fundamentadas. Utiliza heurística para señalar actividades sospechosas que podrían indicar que el archivo no trama nada bueno. ¡Piensa en ello como si la intuición de Cuco entrara en acción!

Detección de anomalías

Ahora bien, aquí es donde ocurre la magia. La detección de anomalías es como el sexto sentido de Cuckoo. Utiliza el aprendizaje automático para encontrar rarezas que puedan indicar un tipo de malware nuevo o desconocido.

Módulos para Detección de Anomalías

1. **Isolation Forest**: esta es su opción para conjuntos de datos de alta dimensión. Es como la navaja suiza de la detección de anomalías.

from sklearn.ensemble import IsolationForest
model = IsolationForest()
model.fit(features)
anomalies = model.predict(new_features)

2. **One-Class SVM**: este requiere un poco más de recursos pero es excelente para conjuntos de datos de dimensiones inferiores.

from sklearn.svm import OneClassSVM
model = OneClassSVM()
model.fit(features)
anomalies = model.predict(new_features)

3. **K-means Clustering**: no es el típico algoritmo de detección de anomalías, pero con algunos ajustes, puede hacer el trabajo.

from sklearn.cluster import KMeans
model = KMeans(n_clusters=2)
model.fit(features)
labels = model.labels_

Simulación de interacción del usuario

Cuckoo también puede pretender ser un usuario que interactúa con el archivo. Puede simular clics y envíos de formularios para ver si el malware está esperando que las acciones del usuario desencadenen sus actividades maliciosas.

Resumen y puntuación

Evaluación de riesgos

Después de todo el análisis, Cuckoo te otorga una puntuación de riesgo. Es como una boleta de calificaciones para el archivo, que le indica qué tan peligroso es en función de su comportamiento.

Recomendaciones

Cuckoo también desempeña el papel de asesor y le sugiere lo que debe hacer a continuación. Ya sea contención, erradicación o recuperación, lo tiene cubierto.

COI (Indicadores de Compromiso)

Finalmente, Cuckoo prepara una lista de COI: estas son las huellas dactilares que deja el malware. Incluye hashes, direcciones IP, URL y más, que puede utilizar para la búsqueda de amenazas.

Adjuntos

Capturas de pantalla

Si el malware tiene un componente visual, como una página de inicio de sesión falsa, Cuckoo realiza capturas de pantalla por ti.

Archivos volcados

Cuckoo también desempeña el papel de cazador de tesoros, desenterrando cualquier archivo oculto o carga útil que el malware pueda haber dejado caer.

Archivos PCAP

Y no lo olvidemos, captura todo el tráfico de la red en archivos PCAP, para que puedas profundizar más tarde.

¡Y ahí lo tienes! Ese es el final de la Parte 2. En la siguiente parte, hablaremos sobre cómo generar informes PDF detallados con toda esta jugosa información. ¡Así que no vayas demasiado lejos!