Origen: España
(Costos de importación incluídos en el precio)
Se enviará desde nuestra bodega entre el Viernes 10 de Mayo y el Lunes 20 de Mayo.
Lo recibirás en cualquier lugar de México entre 1 y 3 días hábiles luego del envío.
Análisis de Malware Para Sistemas Windows
Mario Guerra Soto
Reseña del libro "Análisis de Malware Para Sistemas Windows"
Se considera malware cualquier tipo de software dañino contra el normal funcionamiento de un dispositivo, aplicación o red. Dentro del término malware se engloban virus, troyanos, gusanos, backdoors, rootkits, scareware, spyware, keyloggers, ransomware, etc. En general, un malware moderno incluirá varios de estos comportamientos.Esta obra compila y desgrana las principales TTP (Tácticas, Técnicas y Procedimientos) empleadas actualmente por los atacantes. Parte de estas TTP están diseñadas para comprometer la CIA (confidencialidad, integridad y disponibilidad) del sistema víctima o de la información almacenada en él. En cambio, técnicas como la ofuscación, el anti desensamblado, la anti depuración y el anti sandboxing, son específicamente implementadas por los desarrolladores de malware para impedir o dificultar la detección de la muestra maliciosa mediante la utilización de herramientas automatizadas y su análisis manual.El contenido de este libro describe una amplia metodología de análisis estático y dinámico de muestras maliciosas desarrolladas con las técnicas más actuales y avanzadas para entornos Windows sobre IA-32/64 bits. Estos conocimientos permitirán al lector:• Analizar, caracterizar y contextualizar muestras maliciosas.• Determinar el alcance del incidente.• Eliminar los artifacts maliciosos del sistema infectado.• Contribuir a la mejora de las defensas y elevar el nivel de resiliciencia del sistema.• Fortalecer su capacidad para gestionar ciberincidentes relacionados con malware.Dado que se incluye el soporte teórico necesario relativo a sistemas operativos Microsoft Windows, arquitectura de computadores IA-32/IA-64 y programación (ensamblador y .NET), se trata de una obra ideal tanto para aquellos que quieran introducirse profesionalmente en el análisis de malware como un libro de referencia para analistas avanzados. ÍNDICEACERCA DEL AUTORPRÓLOGOCAPÍTULO 1. INTRODUCCIÓNCAPÍTULO 2. MOTIVOS PARA REALIZAR UN ANÁLISIS DE MALWARECAPÍTULO 3. INGENIERÍA INVERSA DE SOFTWARE3.1 INTRODUCCIÓN3.2 FUNDAMENTOS DE PROGRAMACIÓN3.2.1 Código fuente3.2.2 Código máquina3.2.3 Código ensamblador3.2.4 Entornos de ejecución de software y bytecodes3.2.5 Construcciones básicas de código3.2.6 Herencia3.2.7 Variables3.2.8 Estructuras de datos3.2.9 Listas3.2.10 Control de flujo3.3 ARQUITECTURA X863.3.1 Tipos de datos3.3.2 Registros3.3.3 Memoria3.3.4 Representación complemento a dos3.3.5 Formato de instrucciones3.3.6 Modos de direccionamiento3.3.7 Interrupciones3.3.8 Funciones (functions)3.3.9 Módulos (modules)3.3.10 La pila (stack)3.3.11 El heap.3.3.12 Secciones de datos ejecutables3.3.13 Modos de operación de los procesadores3.3.14 Instrucciones en ensamblador x863.3.15 Control de flujo en ensambladoR3.4 ANÁLISIS DE CÓDIGO DE 64 BITS3.4.1 Introducción3.4.2 Registros de propósito general en x86 de 64 bits3.4.3 Convención de llamadas a funciones3.4.4 Modos de direccionamiento3.4.5 Instrucciones x643.4.6 Transferencia de datos en x64CAPÍTULO 4. FUNDAMENTOS DE LOS SISTEMAS OPERATIVOS MICROSOFT WINDOWS4.1 BREVE HISTORIA4.2 CARACTERÍSTICAS DE WINDOWS NT4.3 COMPATIBILIDAD HARDWARE4.4 GESTIÓN DE MEMORIA4.4.1 Direccionamiento virtual de memoria4.4.2 Memoria de kernel y memoria de usuario4.4.3 Objetos de seccióN4.4.4 Árboles VAD4.4.5 Asignaciones en modo usuario4.4.6 Símbolos4.4.7 Funciones de la API para la gestión de memoria4.5 OBJETOS Y HANDLES4.5.1 Generalidades4.5.2 Objetos con nombre (named objects)4.6 PROCESOS E HILOS4.6.1 Procesos4.6.2 Hilos4.6.3 Cambio de contexto4.6.4 Objetos de sincronización4.6.5 Atoms y tablas atom4.6.6 Secuencia de inicialización de un proceso4.7 API4.8 FORMATO DE FICHERO PECOFF4.8.1 Generalidades4.8.2 Secciones de imagen4.8.3 Dynamically Linked Libraries4.8.4 Cabeceras de fichero4.8.5 Sección Table (cabeceras de sección)4.8.6 Sección DatA4.8.7 Sección .drectvE4.8.8 Sección .edatA4.8.9 Sección .idatA4.8.10 Sección .pdata4.8.11 Sección .reloc4.8.12 Sección .tls4.8.13 Sección .rsrc.4.8.14 Sección .cormeta4.8.15 Sección .sxdatA4.8.16 Cálculo del hash Authenticode de la imagen PE4.9 ENTRADA/SALIDA4.9.1 Generalidades4.9.2 El sistema de E/S4.9.3 Subsistema Win32.4.10 STRUCTURED EXCEPTION HANDLING.CAPÍTULO 5. VIRTUALIZACIÓN Y SANDBOXING5.1 VIRTUALIZACIÓN5.2 SANDBOXING.CAPÍTULO 6. CRIPTOLOGÍA6.1 INTRODUCCIÓN6.2 DEFINICIONES6.3 PRINCIPIOS DE LA CRIPTOGRAFÍA CLÁSICA6.4 PRINCIPIOS DE CRIPTOGRAFÍA MODERNA6.5 CRIPTOGRAFÍA DE CLAVE SIMÉTRICA6.6 CRIPTOGRAFÍA DE CLAVE ASIMÉTRICA6.7 CIFRADO HÍBRIDO6.8 ALGORITMOS RESUMEN (HASHING)6.9 ALGORITMOS DE LÓGICA DIFUSA (FUZZY HASHING) Y RESÚMENES DE SIMILITUD (SIMILARITY DIGESTS)6.10 EMPLEO DE CIFRADO Y OFUSCACIÓN POR EL MALWARE6.10.1 Generalidades6.10.2 Cifrado CésaR6.10.3 Codificación Base64.6.10.4 Codificación XOR6.10.5 Codificación mediante rotación6.10.6 Técnicas de cifrado del malware6.10.7 Técnicas de cifrado y codificación personalizadas6.10.8 Cifrado de ficheros y volúmenes6.11 PROTOCOLOS DE CIFRADO DE RED Y ANONIMIZACIÓN DE LAS COMUNICACIONESCAPÍTULO 7. VECTORES DE INFECCIÓN DE UN SISTEMA7.1 PROPAGACIÓN DEL MALWARE7.2 DISTRIBUCIÓN DE MALWARE A TRAVÉS DE LA WEBCAPÍTULO 8. CAPACIDADES DEL MALWARE8.1 VIRUS Y GUSANOS8.2 TROYANOS (TROJAN HORSES)8.3 ADWARE/SPYWARE8.4 SCAREWARE8.5 WIPER8.6 RANSOMWARE8.7 DOWNLOADERS Y LAUNCHERS8.8 PUERTAS TRASERAS (BACKDOORS)8.8.1 Reverse shell8.8.2 Windows Reverse Shell8.8.3 Herramienta de acceso remoto (RAT)8.8.4 Botnet.8.9 ROOTKITS8.10 MALWARE DE EXFILTRACIÓN DE INFORMACIÓN8.11 ROBO DE CREDENCIALES8.11.1 Interceptación GINA8.11.2 Volcado de hashes8.11.3 Registro de pulsaciones de teclado (keylogging)8.12 MALWARE A NIVEL BIOS/FIRMARECAPÍTULO 9. COMPONENTES DEL MALWARE9.1 FUNCIONALIDAD MODULAR9.2 MALWARE DE MÚLTIPLES ETAPAS9.3 EXPLOIT KITSCAPÍTULO 10. MECANISMOS DE PERSISTENCIA DEL MALWARE10.1 INTRODUCCIÓN10.2 PERSISTENCIA EN LAS CARPETAS DE INICIO DE MICROSOFT WINDOWS10.3 PERSISTENCIA EN LAS TAREAS PROGRAMADAS10.4 PERSISTENCIA EN EL REGISTRO DE MICROSOFT WINDOWS10.4.1 AppInit_DLLs10.4.2 Valor Notify de Winlogon10.4.3 Librerías SvcHost10.5 TROYANIZACIÓN DE BINARIOS DEL SISTEMA10.6 SECUESTRO DEL ORDEN DE CARGA DE LAS LIBRERÍAS10.7 PERSISTENCIA EN MEMORIA DEL MALWARE10.7.1 Inyección de shellcode10.7.2 Inyección Reflexiva (Reflective DLL injection)10.7.3 Módulo de memoria (memory module)10.7.4 Process hollowing10.7.5 Process Doppelgänging10.7.6 Sobrescritura de módulo (module overwriting)10.7.7 Gárgola (gargoyle)10.8 FILELESS MALWARECAPÍTULO 11. ESCALADA DE PRIVILEGIOS11.1 INTRODUCCIÓN11.2 AUTORIZACIÓN EN SISTEMAS MICROSOFT WINDOWS11.3 LOCALIZANDO EL OBJETO TOKEN11.4 SEDEBUGPRIVILEGECAPÍTULO 12. TÉCNICAS DE OCULTACIÓN DE MALWARE12.1 TÉCNICAS EVASIVAS12.2 EMPAQUETADORES (PACKERS)12.3 CIFRADORES (CRYPTERS)12.4 PROTECTORES (PROTECTORS)12.5 INYECCIÓN DE CÓDIGO12.6 ROOTKITS12.7 API HOOKING.12.7.1 Generalidades12.7.2 SSDT hooking12.7.3 IRP hooking.12.7.4 IAT hooking.12.7.5 Inline hooking12.7.6 Hooking en controladores12.8 DKOM12.8.1 Generalidades12.8.2 Ocultación de procesos12.8.3 Ocultación de controladores del sistemA12.8.4 Elevación privilegio de token y de grupo con DKOM.12.9 TAXONOMÍA DE LOS ROOTKITS12.10 DETECCIÓN DE ROOTKITS12.10.1 Detección basada en firma (signature based detection)12.10.2 Detección basada en heurística/comportamiento (heuristic/behavioral detection)12.10.3 Detección basada en visión transversal (cross view based)12.10.4 Detección basada en integridad.12.10.5 Path profiling en tiempo de ejecución (runtime execution profiling)12.10.6 Detección manual de rootkitsCAPÍTULO 13. IDENTIFICACIÓN Y EXTRACCIÓN DEL MALWARE13.1 INTRODUCCIÓN13.2 DETECCIÓN DE LA CONFIGURACIÓN13.3 MODELADO13.4 INDICADORES13.5 COMPORTAMIENTO DE LA AMENAZA .13.6 COMPARACIÓN DE LAS DIFERENTES APROXIMACIONES DE DETECCIÓN DE LA AMENAZA13.7 INDICADORES DE QUE SE HA PRODUCIDO UNA BRECHA DE SEGURIDADCAPÍTULO 14. ETAPAS DEL ANÁLISIS DE MALWARE14.1 INTRODUCCIÓN14.2 ANÁLISIS COMPLETAMENTE AUTOMATIZADO14.3 ANÁLISIS ESTÁTICO DE PROPIEDADES14.4 ANÁLISIS INTERACTIVO DE COMPORTAMIENTO14.5 INGENIERÍA INVERSA MANUAL DEL CÓDIGO14.6 COMBINANDO LAS ETAPAS DE ANÁLISIS DE MALWARECAPÍTULO 15. TÉCNICAS DE ANÁLISIS DE MALWARE15.1 INTRODUCCIÓN15.2 ANÁLISIS ESTÁTICO DE MALWARE15.3 ANÁLISIS DINÁMICO DE MALWARE15.4 ESTABLECIENDO UN ENTORNO DE ANÁLISIS DE MALWARECAPÍTULO 16. TÉCNICAS BÁSICAS DE ANÁLISIS ESTÁTICO DE MALWARE16.1 EMPLEO DE HERRAMIENTAS ANTIVIRUS16.2 RESÚMENES COMO HUELLA DIGITAL DE MALWARE16.3 BÚSQUEDA DE CADENAS DE TEXTO16.4 BÚSQUEDA DE MUTEXES16.5 BÚSQUEDA DE PATRONES CON YARA16.6 IDENTIFICACIÓN DE LAS DEPENDENCIAS DE FICHEROS16.7 ATOMS Y TABLAS ATOM16.8 MALWARE EMPAQUETADO Y OFUSCADO16.9 BÚSQUEDA DE LA INFORMACIÓN DE PE16.10 DESENSAMBLADO DE CÓDIGOCAPÍTULO 17. TÉCNICAS BÁSICAS DE ANÁLISIS DINÁMICO DE MALWARE17.1 INTRODUCCIÓN17.2 MONITORIZACIÓN DE INSTALACIÓN DE APLICACIONES17.3 MONITORIZACIÓN DE PROCESOS17.4 MONITORIZACIÓN DE FICHEROS Y CARPETAS17.5 MONITORIZACIÓN DEL REGISTRO DE WINDOWS17.6 MONITORIZACIÓN DEL TRÁFICO DE RED DE LAS CAPAS DE RED Y TRANSPORTE17.7 MONITORIZACIÓN/RESOLUCIÓN DNS17.8 MONITORIZACIÓN DE TRÁFICO DE RED EN LA CAPA APLICACIÓN17.9 MONITORIZACIÓN DE LAS LLAMADAS A LA API DE MICROSOFT WINDOWS17.10 MONITORIZACIÓN DE CONTROLADORES DE DISPOSITIVOS17.11 MONITORIZACIÓN DE PROGRAMAS AL INICIARSE MICROSOFT WINDOWS17.12 MONITORIZACIÓN DE SERVICIOS EN MICROSOFT WINDOWSCAPÍTULO 18. INTERACCIÓN CON SITIOS WEB E INFRAESTRUCTURA MALICIOSA18.1 ANONIMIZACIÓN DE LAS COMUNICACIONES18.2 SISTEMAS Y HERRAMIENTAS DEL ANALISTACAPÍTULO 19. ANÁLISIS DE DOCUMENTOS MALICIOSOS19.1 METODOLOGÍA GENERAL DE ANÁLISIS DE DOCUMENTOS19.2 ANÁLISIS DE SCRIPTS PARA POWERSHELL.19.2.1 Generalidades19.2.2 Análisis de comandos/scripts PowerShell.19.2.3 Utilización de los atacantes de PowerShell19.2.4 Weaponización de PowerShell19.3 DESOFUSCACIÓN DE SCRIPTS UTILIZANDO DEPURADORES19.4 DESOFUSCACIÓN DE SCRIPTS UTILIZANDO INTERPRETADORES38819.5 FICHEROS HTA19.6 ANÁLISIS DE DOCUMENTOS DE MICROSOFT OFFICE19.7 ANÁLISIS DE FICHEROS MSG19.8 ANÁLISIS DE DOCUMENTOS RTF19.9 ANÁLISIS DE DOCUMENTOS PDF19.10 ANÁLISIS DE SHELLCODECAPÍTULO 20. TÉCNICAS AVANZADAS DE ANÁLISIS DINÁMICO DE MALWARE20.1 ANÁLISIS DE MALWARE EMPAQUETADO20.2 DEPURACIÓN DE CÓDIGO EMPAQUETADO20.3 ANÁLISIS DE MALWARE QUE UTILIZA MÚLTIPLES TECNOLOGÍAS20.4 ANÁLISIS FORENSE DEL CONTENIDO DE LA MEMORIA RAMCAPÍTULO 21. ANÁLISIS DE MALWARE QUE INCORPORA TÉCNICAS ANTIVIRTUALIZACIÓN21.1 INTRODUCCIÓN21.2 TÉCNICAS ANTIVIRTUALIZACIÓN21.2.1 Detección de entornos de virtualizacióN21.2.2 Artefactos de entornos de virtualización21.2.3 Instrucciones vulnerables21.2.4 Técnica antivirtualización Red Pill.21.2.5 Técnica antivirtualización No Pill21.2.6 Interrogación del puerto de comunicación I/O como técnica antivirtualización21.2.7 Instrucción STR como técnica antivirtualizacióN21.2.8 Otras técnicas antivirtualizacióN21.2.9 Técnicas de escape del entorno virtualizado21.3 MEDIDAS ANTI-ANTIDETECCIÓN DE ENTORNOS DE ANÁLISIS DEMALWARECAPÍTULO 22. ANÁLISIS DE MALWARE QUE INCORPORA TÉCNICAS ANTIDESENSAMBLADO22.1 INTRODUCCIÓN22.2 ALGORITMOS DE DESENSAMBLADO22.2.1 Desensamblado lineal22.2.2 Desensamblado orientado a flujo22.3 TÉCNICAS ANTIDESENSAMBLADO22.3.1 Introducción22.3.2 Instrucciones de salto que apuntan al mismo objetivo22.3.3 Instrucción de salto con una condición de constantE22.3.4 Funciones de bifurcación22.3.5 Desensamblado imposiblE22.4 TÉCNICAS ANTIANÁLISIS DE LA PILACAPÍTULO 23. ANÁLISIS DE MALWARE QUE IMPLEMENTA TÉCNICAS DE OFUSCACIÓN DE FLUJO DE EJECUCIÓN23.1 INTRODUCCIÓN23.2 PUNTEROS A FUNCIONES23.3 EXPLOTACIÓN DE LA INSTRUCCIÓN CALL23.4 EXPLOTACIÓN DEL PUNTERO DE RETORNO23.5 EXPLOTACIÓN DE SEHCAPÍTULO 24. ANÁLISIS DE MALWARE QUE IMPLEMENTA TÉCNICAS ANTIDEPURACIÓN24.1 INTRODUCCIÓN24.2 DETECCIÓN DE ENTORNOS DE DEPURACIÓN24.3 TÉCNICAS BASADAS EN LLAMADAS A LA API DE MICROSOFT WINDOWS24.3.1 Introducción24.3.2 Comprobación manual de la bandera BeingDebugged.24.3.3 Comprobación de la bandera ProcessHeap24.3.4 Comprobación de la bandera NtGlobalFlag.24.3.5 Comprobación de rastros de depuración en el sistemA24.3.6 Otras medidas anti-antidepuracióN24.4 IDENTIFICANDO EL COMPORTAMIENTO DEL DEPURADOR24.4.1 Introducción24.4.2 INT scanning24.4.3 Cálculo de checksums del código24.4.4 Comprobaciones de paso del tiempo24.4.5 Empleo de la Instrucción RDTSC24.4.6 Empleo de las funciones QueryPerformanceCounter y GetTickCount.24.5 INTERFIRIENDO EL FUNCIONAMIENTO DEL DEPURADOR24.5.1 Introducción24.5.2 TLS callbacks24.5.3 Empleo de excepciones24.5.4 Inserción de interrupciones24.5.5 Inserción de la interrupción INT 324.5.6 Inserción de la interrupción INT 2D.24.5.7 Inserción de ICE24.6 VULNERABILIDADES EXISTENTES EN LOS DEPURADORESCAPÍTULO 25. ANALIZANDO MUESTRASPROGRAMADAS EN .NET25.1 INTRODUCCIÓN25.2 INTRODUCCIÓN A .NET.25.2.1 Generalidades25.2.2 Código gestionado25.2.3 Lenguajes de programación .NET25.2.4 CTS25.3 EL LENGUAJE IL25.3.1 Pila de evaluación25.3.2 Registros de activacióN25.3.3 Instrucciones IL25.4 ENSAMBLADOS .NET25.5 DECOMPILADORES25.6 PROTECCIÓN DE CÓDIGO EN .NET25.7 OFUSCADORES EN .NET.25.8 EMPAQUETADORES EN .NET25.8.1 Renombramiento de símbolos25.8.2 Ocultación de código CIL25.8.3 Técnicas exclusivas de .NET.25.9 ANÁLISIS DE MUESTRAS MALICIOSAS EN .NET.25.10 INGENIERÍA INVERSA DE CÓDIGO OFUSCADO25.10.1 API25.10.2 Cadenas de usuario25.10.3 LoadAssembly.CAPÍTULO 26. COMPRENDIENDO LOS CIBERATAQUES26.1 AGENTES DE LA AMENAZA26.1.1 Cibercriminales26.1.2 Hacktivistas26.1.3 Atacantes con apoyo estatal.26.1.4 La amenaza interna (insider threat)26.1.5 Otras posibles clasificaciones26.2 CATEGORIZACIÓN DE LA CIBERAMENAZA26.3 DEFENSA DE RED BASADA EN INTELIGENCIA26.4 PASOS PARA LA EJECUCIÓN DE UN CIBERATAQUE (CYBER KILL CHAIN)26.4.1 Reconocimiento (Reconnaissance)26.4.2 Preparación de la operación (Weaponize)26.4.3 Envío (Deliver)26.4.4 Explotación (Exploit)26.4.5 Instalación en la víctima (Installation)26.4.6 Control remoto del malware (Command and Control)26.4.7 Acciones sobre los objetivos (Actions on objectives)26.5 CURSOS DE ACCIÓN26.6 RECONSTRUCCIÓN DE UNA INTRUSIÓN26.7 ANÁLISIS DE CAMPAÑA26.8 MODELO EN DIAMANTE DE ANÁLISIS DE INTRUSIÓN26.9 MODELO ATT&CK FOR ENTERPRISE26.10 MODELO DE FIREEYE PARA EL CICLO DE VIDA DE UN CIBERATAQUE
Opiniones del libro
Luis Fernando CastañedaLunes 06 de Enero, 2020
Compra Verificada
"
Valió cada segundo, cada minuto y cada día de espera, muy contento con el libro
"
00
Anger PLunes 10 de Agosto, 2020
Compra Verificada
"
Excelente contenido. Recomendado para quien quiera iniciarse en el REM
"
