Un estudiante de ingeniería informática y embajador de Microsoft Learn ha creado la mayor biblioteca de malware con más de 53 años de historia para ayudar a los equipos de defensa.

La biblioteca de malware más extensa del mundo: "plutonio digital"

• Un alumno de ingeniería informática y embajador de Microsoft Learn ha desarrollado un archivo histórico de software malicioso. Esta colección abarca más de 53 años de historia y tiene como objetivo principal servir de herramienta para los equipos de defensa cibernética.

Han liberado una base de datos de malware, pero que no cunda el pánico. El autor es Daniel Ramírez Atienza, estudiante embajador de Microsoft Learn, que cursa ingeniería informática y está especializado en el mundo de la ciberseguridad, concretamente en operaciones de blue team, threat hunting y defensa de arquitecturas en la nube.

Bajo el usuario de darama22 en GitHub, ha creado el repositorio Malware Research Hub, con una lista muy bien integrada de hasta 53 años de historia de malware, desde el virus histórico Creeper, que apareció en 1971.

Ahora bien, no es un simple repositorio para los especialistas y aficionados en ciberseguridad, sino que funciona mediante un diseño de arquitectura de almacenamiento seguro, así como el desarrollo de una aplicación web local en Python y Flask para indexar y explorar todas las muestras sin que se ejecuten accidentalmente en la máquina este tipo de software malicioso.

En su propia página de GitHub lo explica claramente: "Malware Research Hub es una plataforma local que unifica un catálogo forense curado, un arsenal de 2.764 especímenes reales (todos cifrados), un motor de búsqueda propio y un hub de recursos de investigación, desde Creeper (1971) hasta el ransomware moderno".

Y añade que todo está indexado y que se puede buscar tanto en inglés como en español mediante una app web propia, sin dependencias externas más allá del mencionado Flask.

En total, aquí encontrarás hasta 84 familias de malware con 11 colecciones disponibles durante más de medio siglo, una verdadera reliquia para los equipos de defensa de cualquier empresa y organización.

Qué puedes encontrar exactamente en Malware Research Hub

El contenido de este repositorio está dividido en 3 pilares principales: catálogo forense, colecciones de especímenes reales y recursos de ingeniería inversa. Todo esto dirigido a la ciberseguridad defensiva y a las operaciones del equipo azul, encargado de las defensas de una organización.

Como suele decirse, hay que conocer al enemigo para poder combatirlo, y esto es precisamente lo que busca Malware Research Hub: "Todas las muestras van en ZIP cifrado con contraseña infected. Nunca las descomprimas en tu máquina principal. Opera solo en una VM aislada (host‑only / sin red) con snapshots, usando REMnux + FakeNet‑NG. El servidor no ejecuta ni sirve binarios por defecto. Solo metadatos y 'abrir carpeta'. Un espécimen extraído es hostil. Trátalo como plutonio digital".

De tal forma, la primera recomendación es que crees un entorno aislado y controlado mediante una máquina virtual, con la configuración que comparte el propio autor, para evitar que acabes infectando tu máquina principal.

Si ya tienes esto listo, te toparás con casi 3.000 especímenes reales de malware que están distribuidos en 11 colecciones diferentes verificadas por toda la comunidad de ciberseguridad defensiva.

La que acumula mayor número de especímenes es Malware-Databes-Src, con código fuente desglosado por cada plataforma –Win32, Linux, macOS, MS-DOS, etc.–. A partir de aquí, le siguen VX-Underground, con código fuente histórico y moderno por lenguaje de programación, y theZoo, con binarios reales cifrados y código fuente agrupado por familias.

Según el autor, se centra en "corpus agregado a partir de colecciones públicas de investigación reconocidas (theZoo, VX‑Underground, MalwareBazaar/abuse.ch, InQuest, javascript‑malware‑collection y otras); cada subcolección conserva su licencia original en su carpeta. Curación, integración, cifrado, indexado y plataforma: trabajo propio".

A partir de aquí, hay muchas más colecciones, como Malware-Database, con binarios históricos cifrados categorizados por amenazas; VX-API, con demostraciones de técnicas avanzadas de malware en C y C++; JavaScript Malware; Malware-Samples, con familias y amenazas modernas en formato binario cifrado, e incluso el gusano Stuxnet, con el código fuente completo.

O lo que es lo mismo, en lugar de listar miles y miles de técnicas, reúne 84 familias deduplicadas, para que el usuario pueda tener a su disposición todo sin tener que rebuscar mucho.

Adicionalmente, cuenta con una línea de tiempo interactiva, desde 1971 hasta 2024, para ver cómo han evolucionado este tipo de ataques, además de integración con estándares, como STIX/MAEC o conjuntos de datos para aprendizaje automático en el campo de la ciberseguridad defensiva.

Al ejecutar la herramienta no existe ningún servidor externo, sino que corre localmente, a la par que su motor de búsqueda te permitirá filtrar por familiar, arquitectura o plataforma objetivo, tipo de amenaza y colección de origen.

Para la seguridad en el backend, el servidor web no ejecuta los binarios ni sirve cargas ejecutables a través del navegados; simplemente maneja metadatos, visualización de fichas e interacción con carpetas locales.

Y el creador del repositorio, como es lógico, extiende una advertencia sobre el uso responsable de este: "Uso exclusivamente educativo y de investigación en ciberseguridad defensiva. La posesión, manipulación y ejecución de malware está sujeta a las leyes de tu jurisdicción. El operador es el único responsable de contener las muestras en entornos aislados. Distribuir o ejecutar estos artefactos con intención dañina es un delito. Opera en aislamiento. No seas el paciente cero".

Con el objetivo de que tu máquina principal (host) no acabe infectada con estas tipologías de malware, es obligatorio el uso de un entorno virtualizado aislado con tu herramienta favorita, ya sea VMware, VirtualBox o Proxmox.

La configuración tiene que cumplir estrictamente con la siguiente regla: la máquina virtual solo puede estar en modo Solo Anfitrión (host-only) o totalmente desactivada, con la red interna desconectada para que no existan brechas.

En el caso de los gusanos, estos son autorreplicables, por lo que el autor también advierte de que lo mejor es usar distros especializadas como REMnux, combinándola con simuladores de red como FakeNet-NG o INetSim para evitar que estos intenten propagarse.

En definitiva, Malware Research Hub es una herramienta vital que sirve como archivo histórico para los equipos de ciberseguridad defensiva o los especialistas en inteligencia de amenazas, pero bajo ningún concepto has de utilizarla sin conocimientos en este ámbito, y mucho menos para cuestiones ilegales.