Laboratorio de analisis de malware en la nube
Cómo montar un laboratorio de análisis de malware en la nube. Arquitectura con AWS/Hetzner, CAPE sandbox en cloud, VPN para acceso seguro, costes.
El laboratorio que llevas contigo
TL;DR: Un laboratorio de malware en la nube es una infraestructura aislada en proveedores como AWS o Hetzner diseñada para ejecutar código malicioso sin comprometer la red física del analista. Esta arquitectura permite escalar desde una VM individual hasta complejos entornos con CAPE Sandbox, optimizando los costes operativos frente al hardware dedicado. Se recomienda implementar siempre una VPN y segmentación VPC estricta para garantizar un entorno de investigación seguro y accesible.
Un laboratorio de malware en cloud resuelve problemas prácticos: no necesitas hardware dedicado en tu oficina, puedes acceder desde cualquier lugar, y el malware nunca toca tu red local. Para equipos distribuidos o analistas que viajan, es la única opción práctica.
Arquitectura
Arquitectura básica (analista individual)
Internet
│
├── VPN (WireGuard/Tailscale)
│ │
│ ┌───▼────────────────────────────────────┐
│ │ Cloud VPC (aislada) │
│ │ │
│ │ ┌──────────────┐ ┌───────────────┐ │
│ │ │ Analysis VM │ │ REMnux VM │ │
│ │ │ (FLARE VM │ │ (INetSim, │ │
│ │ │ Windows) │←→│ Wireshark) │ │
│ │ └──────────────┘ └───────────────┘ │
│ │ Internal network only │
│ └──────────────────────────────────────────┘
│
└── NO acceso directo a Internet desde las VMs
Arquitectura con CAPE (equipo)
Internet
│
├── VPN (WireGuard)
│ │
│ ┌───▼────────────────────────────────────────────┐
│ │ Cloud VPC │
│ │ │
│ │ ┌────────────────┐ │
│ │ │ CAPE Server │ Web UI :8000 │
│ │ │ (Ubuntu, KVM) │ API endpoint │
│ │ │ │ │
│ │ │ ┌────────┐ │ │
│ │ │ │ Win10 │ │ Guest VMs (KVM nested) │
│ │ │ │ Win7 │ │ Auto-create, auto-revert │
│ │ │ │ Linux │ │ │
│ │ │ └────────┘ │ │
│ │ └────────────────┘ │
│ │ │
│ │ ┌────────────────┐ ┌────────────────┐ │
│ │ │ Analysis VM │ │ Storage │ │
│ │ │ (manual work) │ │ (samples, logs)│ │
│ │ └────────────────┘ └────────────────┘ │
│ │ │
│ │ ┌────────────────┐ │
│ │ │ INetSim │ Fake Internet services │
│ │ └────────────────┘ │
│ └──────────────────────────────────────────────────┘
Opciones de cloud
Hetzner (recomendado para precio)
| Servidor | Specs | Precio | Uso |
|---|---|---|---|
| CPX31 | 4 vCPU, 8 GB RAM, 160 GB | ~15 EUR/mes | Analysis VM individual |
| CPX41 | 8 vCPU, 16 GB RAM, 240 GB | ~28 EUR/mes | CAPE server básico |
| CPX51 | 16 vCPU, 32 GB RAM, 360 GB | ~55 EUR/mes | CAPE server completo |
| AX41 | Ryzen 5 3600, 64 GB RAM, 2x512 GB NVMe | ~46 EUR/mes | Bare-metal, CAPE pro |
| AX52 | Ryzen 7 5800X, 64 GB RAM, 2x1 TB NVMe | ~67 EUR/mes | Bare-metal, múltiples VMs |
Ventajas Hetzner: nested virtualization soportada en cloud, bare-metal disponible, datacenter EU (Frankfurt, Helsinki, Ashburn), precio imbatible.
AWS
| Instancia | Specs | Precio on-demand | Uso |
|---|---|---|---|
| t3.xlarge | 4 vCPU, 16 GB RAM | ~120 USD/mes | Analysis VM |
| t3.2xlarge | 8 vCPU, 32 GB RAM | ~240 USD/mes | CAPE básico |
| m5.4xlarge | 16 vCPU, 64 GB RAM | ~560 USD/mes | CAPE completo |
| c5.metal | 96 vCPU, 192 GB RAM | ~3.200 USD/mes | Lab completo bare-metal |
Ventajas AWS: VPC con Security Groups granulares, IAM para control de acceso, CloudWatch para logging, y Spot Instances para reducir costes (60-70% descuento).
Tip: usar Spot Instances para las VMs de análisis que se crean/destruyen. Reserved Instances para el servidor CAPE permanente.
Setup en Hetzner
1. Crear servidor
# Via hcloud CLI
hcloud server create \
--name cape-server \
--type cpx51 \
--image ubuntu-22.04 \
--ssh-key my-key \
--location fsn1
# O via Hetzner Cloud Console (GUI)
2. Configurar red privada
# Crear red privada
hcloud network create --name malware-lab --ip-range 10.0.0.0/8
hcloud network add-subnet malware-lab --type server --network-zone eu-central --ip-range 10.0.1.0/24
# Añadir servidor a la red privada
hcloud server attach-to-network cape-server --network malware-lab --ip 10.0.1.1
3. Configurar firewall
# Firewall: solo permitir SSH y VPN
hcloud firewall create --name malware-lab-fw
hcloud firewall add-rule malware-lab-fw --direction in --protocol tcp --port 22 --source-ips 0.0.0.0/0 --description SSH
hcloud firewall add-rule malware-lab-fw --direction in --protocol udp --port 51820 --source-ips 0.0.0.0/0 --description WireGuard
# BLOQUEAR todo lo demas
hcloud firewall apply-to-server malware-lab-fw --server cape-server
4. Instalar WireGuard VPN
# En el servidor
apt install wireguard
wg genkey | tee /etc/wireguard/private.key | wg pubkey > /etc/wireguard/public.key
cat > /etc/wireguard/wg0.conf << 'EOF'
[Interface]
PrivateKey = SERVER_PRIVATE_KEY
Address = 10.100.0.1/24
ListenPort = 51820
[Peer]
PublicKey = CLIENT_PUBLIC_KEY
AllowedIPs = 10.100.0.2/32
EOF
systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0
5. Instalar CAPE
# Seguir guia de CAPE en el articulo dedicado
git clone https://github.com/kevoreilly/CAPEv2
cd CAPEv2
sudo ./installer/cape2.sh base
Acceso seguro
WireGuard (recomendado)
Tu PC ←── WireGuard VPN ──→ Cloud Server
10.100.0.2 10.100.0.1
│
├── CAPE Web: 10.100.0.1:8000
├── Analysis VM: 10.0.1.x (via RDP/VNC)
└── SSH: 10.100.0.1:22
Tailscale (más fácil)
# En el servidor
curl -fsSL https://tailscale.com/install.sh | sh
tailscale up
# En tu PC
tailscale up
# Acceso directo via Tailscale IPs
# Sin configurar port forwarding ni firewall rules
Costes estimados mensuales
Lab mínimo (analista individual)
| Componente | Specs | Coste (Hetzner) |
|---|---|---|
| 1x CPX41 (CAPE + analysis) | 8 vCPU, 16 GB, 240 GB | 28 EUR |
| Storage adicional | 100 GB (samples) | 5 EUR |
| Total | ~33 EUR/mes |
Lab completo (equipo SOC)
| Componente | Specs | Coste (Hetzner) |
|---|---|---|
| 1x AX52 (CAPE server) | Ryzen 7, 64 GB, 2 TB | 67 EUR |
| 1x CPX31 (INetSim + analysis) | 4 vCPU, 8 GB | 15 EUR |
| Storage adicional | 500 GB | 22 EUR |
| Total | ~104 EUR/mes |
Comparativa: lab local vs cloud
| Aspecto | Local | Cloud |
|---|---|---|
| Coste inicial | Alto (hardware) | Bajo (pay-as-you-go) |
| Coste mensual | Electricidad | Suscripción |
| Acceso | Solo en la oficina (o VPN al office) | Desde cualquier lugar |
| Rendimiento | Depende de tu hardware | Escalable |
| Aislamiento de red local | Requiere configuración cuidadosa | Aislado por defecto (VPC) |
| Mantenimiento hardware | Tu responsabilidad | Del proveedor |
| Privacidad | Total (tu hardware) | En manos del proveedor cloud |
| Latencia | Cero | Depende de ubicación |
Fuentes y referencias
- Hetzner. "Hetzner Cloud." https://www.hetzner.com/cloud
- AWS. "Amazon EC2." https://aws.amazon.com/ec2/
- WireGuard. "WireGuard VPN." https://www.wireguard.com/
- Tailscale. "Tailscale: Zero Config VPN." https://tailscale.com/
- kevoreilly. "CAPEv2 Deployment." https://github.com/kevoreilly/CAPEv2
Preguntas frecuentes
Libros recomendados
Artículos relacionados
Este contenido tiene fines exclusivamente educativos y de investigación en ciberseguridad defensiva. No se proporcionan binarios maliciosos ni payloads ejecutables. El uso indebido de esta información es responsabilidad exclusiva del usuario. Leer disclaimer completo.