Guia tecnica de malware en Windows: DLL injection, hooking, rootkits kernel, evasion de EDR y analisis con Volatility. 20 articulos.
Windows es la plataforma más atacada del mundo. Más del 90% del malware en circulación está diseñado para Windows. Esta serie cubre las técnicas que usa el malware para ejecutarse, persistir, escalar privilegios, evadir defensas y lograr sus objetivos en entornos Windows.
Bloque 1: Fundamentos (artículos 1-5) Formato PE, inyección de código, APIs de Windows usadas por malware, persistencia en el registro.
Bloque 2: Técnicas avanzadas (artículos 6-10) Persistencia avanzada, fileless malware, evasión de antivirus, bypass de AMSI.
Bloque 3: Detección y análisis (artículos 11-15) ETW, Sysmon, Windows Defender internals, análisis de .NET malware, macros maliciosas.
Bloque 4: Nivel experto (artículos 16-20) Cobalt Strike, BYOVD, kernel exploitation, EDR internals, credential dumping.
Cada artículo incluye análisis técnico con código, mapeo a MITRE ATT&CK, indicadores de detección y referencias a fuentes primarias. Nivel progresivo de intermedio a avanzado.
Guía técnica completa del formato PE (Portable Executable) de Windows desde la perspectiva del análisis de malware.
Análisis técnico completo de las técnicas de inyección de DLL en Windows. Classic injection, reflective loading, DLL side-loading, DLL hollowing y las.
Análisis técnico de process hollowing (RunPE) y process doppelgänging. Cómo el malware crea procesos legítimos y reemplaza su contenido con código.
Catálogo completo de las Windows APIs más usadas por malware, organizadas por comportamiento: inyección de código, persistencia, evasión, exfiltración,.
Guía completa de técnicas de persistencia via registro de Windows usadas por malware. Run keys, Services, AppInit_DLLs, Image File Execution Options, COM.
Análisis técnico de persistencia avanzada en Windows via Scheduled Tasks y COM Hijacking. Creación programática de tareas, abuso de Task Scheduler COM,.
Análisis técnico de Windows Management Instrumentation (WMI) como herramienta ofensiva. Ejecución remota, persistencia via Event Subscriptions,.
Análisis técnico de malware fileless en Windows. Ejecución en memoria sin tocar disco via PowerShell, .NET reflection, WMI y LOLBins.
Análisis técnico de técnicas de evasión de antivirus en Windows. Packers (UPX, Themida, VMProtect), crypters, ofuscación de código, polimorfismo,.
Análisis técnico de AMSI (Antimalware Scan Interface) en Windows: arquitectura interna, técnicas de bypass usadas por malware (memory patching,.
Guía técnica de Event Tracing for Windows (ETW) aplicado a detección de malware. Providers clave, cómo los EDR usan ETW, técnicas de evasión de ETW por.
Guía práctica de Sysmon para detección de malware. Configuración optimizada por Event ID, filtros para reducir ruido, integración con SIEM, reglas de.
Análisis técnico de los internals de Windows Defender (Microsoft Defender Antivirus). Motor de escaneo, AMSI, cloud protection, tamper protection, ASR.
Guía práctica de análisis de malware .NET. Uso de dnSpy para decompilación y debugging, de4dot para deobfuscación, análisis de RATs como Agent Tesla y.
Análisis de macros maliciosas en documentos Office. Técnicas VBA, ofuscación, análisis estático con olevba/oletools, el bloqueo de macros por defecto en.
Análisis técnico de Cobalt Strike desde la perspectiva defensiva. Beacons, Malleable C2 profiles, execute-assembly, named pipes, detección de beacons en.
Análisis técnico de BYOVD (Bring Your Own Vulnerable Driver): cómo atacantes usan drivers firmados para acceso kernel, evadir EDR y cómo detectarlo con Sysmon y YARA.
Introducción a la explotación del kernel de Windows desde la perspectiva del analista de malware. Arquitectura del kernel, tipos de vulnerabilidades (UAF,.
Análisis técnico de la arquitectura interna de los EDR modernos. User-mode hooks, kernel callbacks, ETW consumers, minifilters, y las técnicas de evasión.
Guía técnica completa de técnicas de credential dumping en Windows. LSASS dump (Mimikatz, procdump, comsvcs.