Uno de los retos al analizar software potencialmente malicioso es que nos arriesgamos a que nuestra propia máquina o entorno sea comprometido cuando lo ejecutamos. Generalmente existen dos tipos de análisis: dinámico y estático. Esta habitación se centra en realizar análisis estático usando una herramienta llamada CAPA.
CAPA (Common Analysis Platform for Artifacts) es una herramienta desarrollada por el equipo FireEye Mandiant. Está diseñada para identificar las capabilidades presentes en un ejecutable como PE, ELF, .NET, shellcode incluso reportes sandbox. Hace eso analizando el archivo y aplicando un set de reglas que describen comportamientos comunes, permitiéndole determinar que es capaz de hacer el programa, como comunicarse por red, manipular archivos, inyectar procesos, y más.
La belleza de CAPA es que encapsula años de conocimiento sobre ingeniería inversa en una herramienta automatizada, haciéndola accesible incluso a aquellos que no son expertos en ingeniería inversa.
Esta herramienta es particularmente útil en análisis de malware y caza de amenazas.
Objetivos de Aprendizaje
- Explorar qué es CAPA
- Aprender a usar CAPA de forma eficiente
- Entender campos comunes y resultados arrojados por la herramienta
- Usar la herramienta para identificar la potencial actividad de un programa