v1.1 · WPF .NET 8 · Windows

Análisis de malware
Multi-formato

Plataforma defensiva con 14 módulos que analizan 14 formatos: PE, APK, Office, PDF, scripts, JAR, ELF, LNK, OneNote, Email y más. SSDeep diff, MITRE ATT&CK mapping, ETW tracing, decoder Capstone, análisis DNS de correo (SPF/DMARC/DKIM) e inteligencia de amenazas en una sola interfaz.

14 Formatos
26 Técnicas MITRE
10 Reglas YARA
2 Idiomas
Multi-formato DNS de correo APK Android PE Inspector YARA Engine Capstone disasm ETW tracing SSDeep MITRE ATT&CK
malyzer ~ multi-format-analysis
malyzer> analyze sample.apk
[*] Detectando formato...
[+] Formato: 📱 Aplicación Android (APK)
[+] SHA-256: 3e7801db1a5edbec91b49a24a094aad7...
[*] Inspeccionando AndroidManifest.xml...
[+] Permisos: 28 totales · Peligrosos: 7
[!] RECEIVE_SMS · bypass de 2FA
[!] BIND_ACCESSIBILITY_SERVICE · keylogging
[!] SYSTEM_ALERT_WINDOW · overlay banker
[*] MITRE ATT&CK: T1056.001, T1417, T1437
[✗] Veredicto: Alto riesgo · Probablemente malicioso
malyzer>

Todo lo que necesitás para cazar malware

14 módulos especializados que cubren el ciclo completo de análisis sobre 14 formatos: triaje, profundización, threat intel y respuesta.

Análisis estático

Inspección profunda de PE: secciones, imports, strings, IOCs (URLs, IPs, dominios, registry), packer detection y entropía por sección.

PeNet YARA IOC extraction

MITRE ATT&CK Mapping

Detección automática de 26 técnicas: process injection, persistence, defense evasion, credential access, ransomware. Con links directos a attack.mitre.org.

26 técnicas 12 tácticas Auto-mapping

Decoder Capstone

Disassembly real de la sección .text. Detecta stack strings, loops XOR, API hashing y calls indirectas — técnicas clásicas de obfuscación.

x86 / x64 Stack strings XOR loops

Diff de muestras + SSDeep

Compara dos muestras: SSDeep, imports, secciones, YARA, IOCs. Buscar similares en repositorio para identificar variantes de la misma familia.

CTPH hashing 5 dimensiones Threat intel

ETW dynamic tracing

Event Tracing for Windows en tiempo real. Captura procesos, archivos, registro, red y módulos a nivel kernel. Auto-tracking de procesos hijos.

TraceEvent 3.x Kernel events Live trace

Análisis multi-formato

Detecta y analiza 14 formatos automáticamente: PE, APK, Office (DOCX/XLSX/PPTX), PDF, scripts (PowerShell/VBS/JS/Python), JAR, ELF, Mach-O, LNK (Shortcut), OneNote y Email (EML/MSG). Despacho por magic bytes.

14 formatos APK Android Office macros

URL Scan

VirusTotal v3 + URLhaus + PhishTank + heurísticas locales (TLDs sospechosos, palabras de phishing, IPs literales, URL-encoding).

90+ AV engines URLhaus Heurísticas

Análisis DNS de correo

Auditoría completa de la postura anti-spoofing de un dominio: SPF, DMARC, DKIM, MX, MTA-STS, TLS-RPT, BIMI y DNSSEC vía DNS-over-HTTPS. Expansión recursiva del SPF (cuenta los 10 lookups reales y detecta PermError), validación del policy MTA-STS por HTTPS y reputación de los MX contra listas negras (DNSBL).

SPF/DMARC/DKIM MTA-STS DNSBL

Netsniff + GeoIP

Captura de tráfico con SharpPcap. Click derecho → inspeccionar IP con GeoIP + WHOIS RDAP. Alertas por blacklist de IPs.

SharpPcap ipinfo.io RDAP

Inspector de sistema

Procesos, conexiones, autorun (registro + carpetas), archivo hosts, software de protección, unidades. Context menus para acciones rápidas.

P/Invoke WMI Firewall control

Visualización avanzada

7 modos: mapa de entropía, distribución de imports, grafo IOCs, histograma de bytes, layout PE, árbol de procesos del sistema.

7 modos SVG nativo Tree layout

Clasificador ML

k-NN classifier con extracción de características (entropía, imports, secciones, strings) y agrupamiento por similitud del repositorio.

k-NN Auto-cluster Características

Reportes PDF estilizados

Exportación profesional con QuestPDF: análisis estático, sistema, muestras, netsniff, URL scan y DNS de correo. Bilingüe ES/EN automático.

QuestPDF Bilingüe 6 templates

Interfaz moderna y oscura

WPF .NET 8 con WindowChrome, paleta negro/rojo, sidebar i18n y context menus completos.

Malyzer · Análisis estático
Análisis estático
rcedit-x64.exe · 1.360.384 bytes · SHA-256: 3e7801db1a5edbec...
Veredicto
Bajo riesgo · Anomalías detectadas
Risk score: 36/100 · Entropy: 5.80 · Packed: no
Imports DLL
3
Funciones
123
Secciones PE
10
YARA hits
2
Coincidencias YARA
AntiVM_AntiDebugIsDebuggerPresent · Anti-VM y anti-debug
Sospechoso_AntiAnalisisIsDebuggerPresent, OutputDebugString, Sleep, QPC
MITRE ATT&CK Mapping
7 técnicas detectadas en 4 tácticas · Mapeo automático
Técnicas
7
Tácticas
4
Confianza
alta
Defense Evasion
T1027 Obfuscation T1497 Sandbox Evasion T1622 Debugger Evasion T1140 Deobfuscate
Discovery
T1057 Process Discovery T1082 System Info
Command and Control
T1071.001 Web Protocols
Decoder · Capstone disasm
Arquitectura: x86_64 · 14.832 instrucciones analizadas
Stack strings
23
Loops XOR
4
API hashing
12
Calls indirectas
87
Stack strings detectadas
0x401AC0cmd.exe /c "del %s"
0x401B14SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run
0x401C20https://c2.evil.tld/beacon
0x401D04VirtualAllocEx
Loop XOR @ 0x402F18 · clave 0x5A
xoral, 0x5A
stosb
loop0x402F18
ETW · Dynamic Tracing
Rastreando PID 4892 (sample.exe) y descendientes · 1.247 eventos
Eventos
1247
Archivos
823
Registro
218
Red
142
Procesos
3
Eventos en tiempo real
HoraPIDCategoríaTipoDetalle
15:42:31.8214892redtcp-connect185.244.150.18:443
15:42:31.7454892registroset-valorHKCU\\...\\Run\\svcupd
15:42:31.4024892archivocrear%TEMP%\\stage2.bin
15:42:30.1984892procesoiniciarpowershell.exe -enc ...
15:42:29.8124892registrocrear-claveHKCU\\Software\\
📱 Análisis APK · banker.apk
2.847.296 bytes · SHA-256: 8d4f1c2a9b... · Formato detectado: Aplicación Android (APK)
Veredicto
Alto riesgo · Probablemente malicioso
Risk score: 87/100 · 7 permisos peligrosos · 2 DEX · 4 librerías nativas
Permisos totales
28
Peligrosos
7
Archivos DEX
2
Native (.so)
4
Permisos peligrosos detectados
altaRECEIVE_SMSIntercepta SMS · bypass de 2FA
altaBIND_ACCESSIBILITY_SERVICEServicio de accesibilidad · keylogging
altaSYSTEM_ALERT_WINDOWOverlay sobre apps · banker
altaBIND_DEVICE_ADMINAdmin de dispositivo · ransomware
altaRECORD_AUDIOGraba audio · spyware
mediaREAD_CONTACTSLee contactos del usuario
✉️ Análisis DNS de correo · ejemplo.com
SPF · DMARC · DKIM · MX · MTA-STS · TLS-RPT · BIMI · DNSSEC · Fuentes: Cloudflare DoH, Google DoH
Veredicto de seguridad
Mejorable · Configuración parcial
Puntuación: 64/100 · SPF -all · DMARC p=quarantine · DKIM 2048 bits
Puntuación
64
SPF
-all
DMARC
quarantine
DKIM
2048
Hallazgos priorizados
altaSPF lookups 11/10Supera el límite recursivo · PermError
mediaDMARC p=quarantineRecomendado p=reject para máxima protección
mediaMTA-STS testingmode=testing · aún no fuerza TLS
okSPF -allHard fail · rechaza remitentes no autorizados
okDKIM 2048 bitsselector1, selector2 · clave fuerte
okReputación limpiaIPs de MX sin listados en Spamhaus/Barracuda

Construido sobre tecnologías sólidas

.NET 8 con librerías estándar de la industria. Sin dependencias raras, sin frameworks abandonados.

.NET
.NET 8 + WPF
UI nativa Windows con WindowChrome moderno
PE
PeNet 4.0.4
Parsing PE/COFF en C# puro
DLL
dnlib 4.4.0
Análisis de ensamblados .NET (managed)
CAP
Gee.External.Capstone 2.3
Disassembly multi-arquitectura
ETW
TraceEvent 3.1
Microsoft kernel ETW oficial
PCAP
SharpPcap 6.3 + PacketDotNet
Captura de paquetes nivel L2/L3
DoH
DNS-over-HTTPS (Cloudflare / Google)
Resolución DNS de correo sin dependencias
PDF
QuestPDF Community
Reportes profesionales declarativos
DB
SQLite (Microsoft.Data.Sqlite)
Repositorio local de muestras

Diseño que escala

Arquitectura modular con servicios independientes que pueden funcionar de manera aislada. Cada característica es un servicio que se puede testear y reemplazar.

Servicios/
26+ servicios autocontenidos: AnalizadorMultiFormato (PE/APK/Office/PDF/scripts/JAR/ELF/LNK/OneNote/Email), AnalizadorEstatico, AnalizadorAuthenticode, MotorYara, MapeadorMitre, DiferenciadorMuestras, TrazadorEtw, GestorMuestras, IntelAmenazas (VT/AbuseIPDB/OTX/MalwareBazaar/ThreatFox), SubidorMuestras, EscanerUrl, AnalizadorDnsCorreo (SPF/DMARC/DKIM/MX/MTA-STS/TLS-RPT/BIMI/DNSSEC + DNSBL), Netsniff, InspectorIp...
Vistas/
13 páginas WPF con LocExtension i18n. Todo localizable runtime ES/EN sin reiniciar.
Recursos/
Logo, banderas EN/ES, reglas YARA de ejemplo. Embedded resources para recursos estáticos.

¿Listo para cazar malware?

Descargá Malyzer v1.1 desde GitHub. Open Source · Windows 10/11

Ver en GitHub Descargar release