👁️‍🗨️ Si has llegado hasta aquí y te interesa el tema, puedes seguirme o preguntarme más. Estoy encantado de compartir lo aprendido.
¡Gracias por leer!

#HiloTesis @crueuniversidades.bsky.social @filarramendi.bsky.social @ucc.unizar.es @unizar.es

🛠️ En resumen, mi tesis:

- propone nuevas formas de analizar el comportamiento malicioso
- ofrece herramientas que combinan rigor académico con utilidad práctica

🎁 Todo en un contexto cada vez más necesitado de soluciones en ciberseguridad.

🤖 Como extra, parte de esta investigación ya se ha publicado en revistas científicas y presentaciones en congresos de ciberseguridad. El resto está aún en revisión.
Pero lo más importante es que todas de las herramientas son de código abierto, para que cualquiera pueda usarlas una vez se publiquen.

Mi tesis aporta herramientas para analizar mejor cómo actúan los atacantes, entender sus estrategias y anticiparnos a ellas.

Porque conocer el comportamiento del malware es el primer paso para detenerlo. Y no sólo eso, sino rastrearlo para ver cómo evolucionan las tácticas de los adversarios.

🔍 ¿Por qué esto es importante para la sociedad?
Porque los ciberataques ya no solo afectan a gobiernos o empresas. También a cualquier persona con un teléfono, un portátil o una cuenta bancaria online.

📉 Solo en 2024 los ciberataques crecieron un 44% respecto al año anterior.

ficheros potencialmente maliciosos. Es más, la caracterización comportamental de aplicaciones mediante un catálogo estructurado y con una clara taxonomía abre el camino a la aplicación de nuevas técnicas para la detección y clasificación de malware, como las basadas en inteligencia artificial.

distribuyen a potenciales víctimas mediante, por ejemplo, campañas de phishing masivo. Para los que estamos en el lado no criminal de la ciberseguridad, estudiar cientos o miles de aplicaciones es una tarea inabarcable.

Mediante estas herramientas se facilita el proceso de identificación de +

Seguramente cualquier persona que haya llegado aquí se pregunta: Vale, ¿y esto para qué sirve?

La utilidad de la identificación de patrones de comportamiento y su posterior visualización hay que contextualizarla. El escenario es que a diario millones de aplicaciones de origen desconocido se +

🧠 Gracias a técnicas de reconocimiento de patrones, MALGRAPHIQ es capaz de detectar comportamientos como:

- Modificación de archivos
- Apertura de conexiones de red
- Instalación y ejecución de procesos
- Invocación de rutinas de criptografía
- Y mucho más

El Windows Behavior Catalog nos permite identificar automáticamente si un software está haciendo algo sospechoso.

🧩 La siguiente pieza del puzle fue MALGRAPHIQ, un sistema que traduce las acciones del malware en gráficos visuales con la intención de ayudar a identificarlas rápidamente.

recopila parte de los comportamientos comúnmente empleado por malware.

Este catálogo define estos comportamientos mediante patrones que se pueden identificar en las ejecuciones, y los agrupa por diferentes categorías en base a su función dentro del SO (registro, red, ficheros, etc...)

Una vez que tuvimos el entorno de ejecución y empezamos a crear nuestro propio conjunto de datos (ejecuciones de malware), pensamos en los comportamientos que queríamos identificar precisamente en estas ejecuciones.

Así surgió el Windows Behavior Catalog, un catálogo de comportamientos que+

🧰 Así que desarrollamos MALVADA, una herramienta que ayuda a generar históricos del comportamiento de malware en Windows, tras su ejecución en CAPEv2.
Esto dio lugar a WINMET, un nuevo conjunto de datos que puede usarse para estudiar cómo se comporta el malware realmente. doi.org/10.5281/zeno...

pero que está aislada del resto de dispositivos y, muchas veces, es una máquina virtual.
🧪 Analizamos los entornos de sandbox más avanzados y escogimos CAPEv2, que instalamos y configuramos localmente.
Pero había un problema: los conjuntos de datos existentes no eran suficientes ni detallados.

Esto se conoce como análisis dinámico, y es una práctica habitual tanto en entornos de investigación como en la industria que lucha contra el malware.

Pero, ¿qué es esto de un entorno controlado? Se conoce como sandbox en inglés y básicamente consiste en una réplica de un SO totalmente funcional+

En concreto, decidimos tratar de estudiar, replicar y, posteriormente, identificar comportamientos comúnmente empleados por malware en Windows.

Para ello, la estrategia que empleamos consiste en ejecutar programas maliciosos en entornos controlados, observando sus interacciones con el SO.

En primer lugar, hay que centrarse en un sistema operativo específico pues no todos funcionan de la misma manera ni están igual de extendidos.

🪟 Mi trabajo se centra en Windows, que sigue siendo el sistema operativo (SO) más usado y más atacado a escala global.

🦠 Desafortunadamente, como en cualquier juego de gato y ratón, los atacantes (o ciberdelincuentes) siempre encuentran nuevas formas, más sigilosas y complejas, de evadir los sistemas de seguridad. 🔓

📖 Así que la pregunta que nos hicimos en mi tesis es: ¿Cómo podemos identificar el malware?

💻 La seguridad informática (o ciberseguridad) se ha convertido en un pilar clave de la sociedad moderna, tecnológica e interconectada.
Con el avance del desarrollo tecnológico, los dispositivos conectados son cada vez más sofisticados y, generalmente, más seguros. Y nosotros dependemos más de ellos