El análisis heurístico es un método de detección de malware que identifica amenazas desconocidas o modificadas buscando características y comportamientos sospechosos en lugar de coincidencias exactas con muestras conocidas.
Cómo funciona el análisis heurístico
La detección basada en firmas solo reconoce archivos que ya ha visto. Los motores heurísticos, en cambio, aplican reglas empíricas sobre el aspecto y el comportamiento típicos del malware. Hay dos enfoques habituales:
- Heurística estática: examina el archivo sin ejecutarlo, en busca de importaciones de API sospechosas, código que se descifra a sí mismo, una entropía alta que sugiere empaquetado, una estructura de archivo anómala o fragmentos de código parecidos a familias de malware conocidas.
- Heurística dinámica: ejecuta el archivo en un emulador o entorno virtual dentro del propio escáner y observa lo que haría, como modificar archivos del sistema, inyectar código en otros procesos o contactar con direcciones sospechosas.
Cada indicador suma peso a una puntuación; si el total supera un umbral, el archivo se marca, a menudo con un nombre genérico como «Trojan.Generic» o «HEUR».
Por qué es importante
Los atacantes reempaquetan y modifican su código sin parar, y el malware polimórfico cambia con cada infección, de modo que surgen variantes nuevas mucho más rápido de lo que se pueden escribir firmas. La heurística permite al antivirus detectar muchas de esas variantes y algunas amenazas desconocidas. Hoy se combina con la monitorización del comportamiento y modelos de aprendizaje automático entrenados con millones de muestras.
El precio es la precisión: una heurística agresiva genera más falsos positivos y marca instaladores empaquetados legítimos, cracks o herramientas de administración. Además, los autores de malware prueban sus muestras contra los motores heurísticos y usan trucos antiemulación para evitar la detección.
Cómo se utiliza
- Mantener activada la protección heurística, normalmente con la sensibilidad predeterminada del fabricante.
- Enviar al fabricante las posibles detecciones erróneas en lugar de desactivar el motor.
- Combinar la heurística con la detección de comportamiento y un EDR para una defensa en capas.
