Autopsia binaria forense con cadena de custodia.
Entregable en < 1 h.
Cuando tu EDR detecta un DLL sospechoso y necesitas saber qué hacía antes de que lo diga VirusTotal: nosotros te damos el informe pericial del binario con prueba temporal RFC3161, bundle STIX 2.1 e IoCs confirmados por tres fuentes independientes.
Para qué sirve, en una frase
Reduce un binario desconocido a un informe forense reproducible y defendible en una hora: cadena de IoCs confirmados, imphash, capacidades MITRE, veredicto, y un ZIP sellado que un perito ratifica en sala sin depender de VirusTotal.
Por qué es distinto
| Alternativa habitual | NG RE-Triage |
|---|---|
| «Lo que diga VirusTotal.» | IoCs confirmados por dos fuentes independientes (Ghidra ∩ strings crudos) antes de publicarlos. |
| Sandbox externo (muestra en terceros). | Análisis estático en nuestra infraestructura. Cero fuga de muestra. Datos en la UE. |
| Captura de pantalla del escáner. | Pack sellado con RFC3161 (FreeTSA), SHA-256 recursivo encadenado, verificable offline. |
| IoCs en Excel. | Bundle STIX 2.1 ingestable por MISP, OpenCTI o tu SIEM. |
| Resultado opaco de un LLM. | Prompts determinísticos pinned, versión de Ghidra fija, UUIDv5 reproducible: la misma entrada da el mismo informe. |
| Depende del vendor del EDR. | Trabajamos a partir del binario (si existe) o del PowerShell loader del incidente: detonamos la cadena en sandbox NG y reconstruimos el DLL desde memoria. |
El pipeline, sin humo
↓
Ghidra 12 headless → extracción determinista de funciones, strings, imports, exports
↓
pefile → metadatos PE, imphash, entropía por sección
↓
flare-capa → capacidades MITRE ATT&CK y MBC
↓
Verificación cruzada Ghidra ∩ raw strings (regla «cero del parser roto»)
↓
Informe ejecutivo + bundle STIX 2.1 + manifest SHA-256 recursivo
↓
Pack ZIP + sello RFC3161 (pre y post análisis, FreeTSA)
Qué contiene cada pack entregado
Binario inmutable + sello temporal
El binario con permisos de solo lectura y su sello RFC3161 pre-análisis, demostrable como «existía con ESTE contenido antes de que lo tocáramos».
extract.json + metadatos PE
Funciones, strings definidos, imports y exports extraídos por Ghidra. Metadatos PE (imphash, machine, entropías por sección) con pefile.
MITRE ATT&CK y MBC
Capacidades inferidas estáticamente por flare-capa (más de 1 000 reglas): C2, inyección, cifrado, persistencia, host interaction.
STIX 2.1 bundle
Objects stix (indicator, file, identity) con pattern listos para ingestar en MISP, OpenCTI o un SIEM. UUIDv5 determinista por SHA-256.
Report ejecutivo Markdown
Resumen operativo con IoCs confirmados, lista «a verificar» (regla DURA de no publicar un IoC visto por una sola fuente) y limitaciones del análisis.
Manifest + sello final
SHA-256 recursivo de todo el workdir + sello RFC3161 sobre el ZIP. Verificable offline con la CA de FreeTSA incluida en el propio pack.
Caso de referencia (muestra pública)
Lumma Stealer vía ClickFix
Lanzamos el pipeline sobre un sample Lumma marcado como ClickFix publicado en MalwareBazaar el 15-oct-26. En < 10 min automatizados y 20 min de revisión humana obtuvimos:
- Caracterización completa: 7 139 funciones, 12 195 strings definidos, 44 imports, compilado en Go, PE32 x86.
- imphash
1aae8bf580c846f39c71c05898e57e88para pivot cruzado con otros samples. - IoC accionable no en feeds OSINT:
babuino.zulipchat.comcomo C2 (Lumma abusando de Zulip como canal de command-and-control sobre SaaS legítimo). - Endpoints auxiliares:
myexternalip.com,timeapi.io,worldtimeapi.orgpara fingerprinting y time-sync. - Pack final 2,9 MB con sello RFC3161 y hash
d3fb443d…, ingestable en MISP sin tocar un dedo.
El mismo pipeline, aplicado a tu muestra, con tu caso. Resultado entregable en < 1 hora.
Planes
Autopsia Express
Para equipos SOC que necesitan dictamen rápido sobre un binario desconocido.
- 1 binario analizado en < 1 h desde recepción.
- Informe ejecutivo + bundle STIX 2.1.
- Pack ZIP sellado RFC3161.
- Regla YARA custom si procede.
- Soporte por correo durante 72 h tras la entrega.
Importe en propuesta.
Cadena ClickFix
Cuando no tienes el binario pero sí el PowerShell loader (típico post-ClickFix).
- Detonación controlada del loader en sandbox NG.
- Captura del DLL desde memoria aunque haya auto-borrado.
- Autopsia binaria completa + cadena de descarga mapeada.
- Correlación con familias conocidas (Lumma, Vidar, StealC, Foxveil, AMOS…).
- Entregable en 72 h.
Importe en propuesta.
MDR + RE Mensual
Managed Detection & Response con autopsia binaria incluida sin franja mínima.
- Autopsias ilimitadas de binarios detectados por tu EDR.
- Feed STIX propio ingestable en tu SIEM.
- Revisión mensual del parque y briefing ejecutivo.
- Guardia 24/7 con SLA de 2 h para primera respuesta.
Retainer mensual · propuesta a medida · compromiso 6 meses.
Para quién tiene sentido
Equipos SOC/MDR en empresa
Vendor externo del EDR, pero necesitas segunda opinión forense defendible sobre lo que entró. Entregamos el pack como anexo técnico de tu incident report.
Despachos legales / peritos informáticos
Si estás montando un peritaje y necesitas la cadena de custodia del binario cerrada con RFC3161, manifest y bundle STIX, llave en mano.
Fuerzas y cuerpos de seguridad
Casos abiertos sobre familias conocidas (ClickFix, stealers, loaders). Correlación con samples públicos documentada en el propio pack.
MSSPs / integradores
Capability white-label dentro de vuestra oferta. API interna por Tailscale, informes a vuestro branding si procede.
Lo que este producto no es
- No sustituye a una detonación dinámica en sandbox: es análisis estático + verificación cruzada. Para muestras muy ofuscadas combinamos ambas vías.
- No es un antivirus. Es un informe pericial reproducible pensado para que lo sostenga un perito en sala, no para bloquear amenazas en tiempo real.
- No depende de ningún LLM para el veredicto. El LLM es opcional y determinista cuando se usa; el pipeline funciona completo sin él.