Soluciones · Sandbox y threat intelligence
ANY.RUN Interactive Sandbox
Sandbox interactivo en la nube para analizar malware y phishing en tiempo real, con inteligencia de amenazas extraída de los análisis de más de 16.000 organizaciones, para que tu SOC confirme alertas y responda antes.
- Best Security Investigation Platform 2026 Premio de los Cybersecurity Stars Awards de The Hacker News, junio de 2026.
- Global InfoSec Awards 2026 Cyber Defense Magazine lo premió en dos categorías: innovación en análisis de malware (sandbox) y líder de mercado en inteligencia de amenazas. Entregado en RSAC 2026.
- G2 Fall 2026: líder en análisis de malware Grid Leader y Momentum Leader en la categoría Malware Analysis, que reflejan la satisfacción de sus usuarios, su presencia de mercado y su crecimiento.
- Entornos
- Windows, macOS, Linux y Android
- Despliegue
- Nube (SaaS), servidores en Alemania
- Fabricante
- Con sede en Dubái (EAU), desde 2016
La solución
¿Qué es ANY.RUN?
Muchas amenazas están hechas para burlar el análisis automático: esperan un clic, se esconden tras un CAPTCHA, un código QR o un archivo comprimido con contraseña, y cambian de infraestructura en días. Un ejemplo cercano: en 2026, ANY.RUN documentó una campaña del ladrón de credenciales Agent Tesla contra empresas chilenas, con falsas órdenes de compra como señuelo y activa desde al menos mediados de 2024. Para tu equipo, cada alerta dudosa significa horas de investigación o un escalamiento sin evidencia.
ANY.RUN responde con un sandbox interactivo en la nube: abres el archivo, el enlace o el correo sospechoso en una máquina virtual con Windows, macOS, Linux o Android, la usas como lo haría una persona y ves en tiempo real sus procesos, conexiones de red, indicadores de compromiso (IOC) y técnicas de MITRE ATT&CK. Esos análisis, de una comunidad de más de 16.000 organizaciones, alimentan su inteligencia de amenazas: TI Lookup para investigar indicadores y TI Feeds para llevar IOC frescos a tu SIEM, SOAR o firewall.
El resultado es un triage con evidencia: el primer nivel del SOC cierra o escala con un veredicto claro y un informe listo, el equipo de respuesta a incidentes parte con el contexto del ataque y los equipos de detección convierten lo observado en indicadores y reglas. Todo sin laboratorio propio y conectado a tus herramientas mediante conectores, API y SDK.
Capacidades
Seis capacidades, de la muestra a la detección
El sandbox muestra qué hace cada amenaza; la inteligencia de amenazas lleva ese conocimiento a tus herramientas de detección y respuesta.
-
Análisis interactivo en tiempo real
Abres el archivo o la URL en una máquina virtual aislada y la usas como lo haría una persona: haces clic, escribes, abres archivos comprimidos, navegas o reinicias el equipo. Así detonas las amenazas que esperan una acción humana y ves su comportamiento mientras ocurre, no solo al final.
-
Interactividad automatizada
Con el plan Enterprise Suite, un motor de machine learning imita las acciones de un usuario: abre adjuntos, sigue enlaces, extrae las URL de códigos QR y resuelve CAPTCHA hasta llegar a la carga final o a la página de phishing, sin que el analista intervenga en cada paso.
-
Visibilidad completa de la amenaza
Árbol de procesos, archivos creados, cambios de registro, conexiones de red y tráfico HTTP/S y DNS, con cada técnica mapeada a MITRE ATT&CK. También analiza la memoria para extraer y descifrar la configuración del malware, rastrea los scripts ejecutados e inspecciona en el navegador las páginas de phishing.
-
Informes listos para decidir
Los informes Tier 1 reúnen el veredicto, los IOC clave, los indicadores de comportamiento y el mapeo a MITRE ATT&CK, con un resumen generado por IA y recomendaciones para responder. Exportas en JSON, MISP o HTML y, en Enterprise Suite, AI Sigma Rules convierte una detección confirmada en una regla Sigma para tu SIEM.
-
Investigación con TI Lookup
Busca cualquier indicador (IP, dominio, URL, hash, TTP, reglas YARA o Suricata, campos de procesos y eventos) entre millones de análisis del sandbox. Cada resultado enlaza a las sesiones donde apareció, para ver cómo se desarrolló el ataque completo.
- YARA Search: encuentra muestras que comparten patrones de código.
- Suscripción a consultas: te avisa cuando aparecen resultados nuevos.
- Contexto por industria y país para priorizar lo que te afecta.
-
Detección con TI Feeds
Flujo de IP, dominios y URL maliciosos extraídos de ataques en curso, filtrados y verificados en el sandbox, que se actualiza en tiempo real. Cada indicador llega con su contexto y el enlace al análisis que lo originó, en STIX/TAXII o por API y SDK, listo para tu SIEM, TIP o SOAR.
Cómo funciona
Productos e integraciones
Tres productos que se alimentan de los mismos análisis, y las vías para llevarlos a tus herramientas.
Interactive Sandbox
Máquinas virtuales en la nube con Windows, macOS, Linux y Android para analizar archivos y URL en tiempo real. Incluye informes, exportaciones y, en Enterprise Suite, API y gestión de equipos.
Threat Intelligence Lookup
Buscador sobre millones de análisis del sandbox para enriquecer un indicador con contexto, TTP y sesiones relacionadas. Suma YARA Search e informes de inteligencia sobre amenazas activas.
Threat Intelligence Feeds
IP, dominios y URL maliciosos verificados en el sandbox y actualizados en tiempo real, en STIX/TAXII o por API y SDK, para alimentar tu SIEM, TIP, SOAR o firewall.
Conectores, API y SDK
Conectores listos para Microsoft Sentinel y Defender, Splunk, Cortex XSOAR, IBM QRadar, Elastic Security, OpenCTI y otras plataformas, más API REST y SDK para integraciones a medida.
Funciona en la nube y se conecta con:
En la práctica
Así se investiga una alerta
Un recorrido típico, desde el archivo o enlace sospechoso hasta la respuesta y la detección.
-
Llega una alerta
Tu EDR, el gateway de correo o un usuario reportan un archivo, un enlace o un correo sospechoso, y el analista o un playbook de SOAR lo envía al sandbox.
-
Se detona la muestra
La muestra se abre en una máquina virtual aislada. El analista, o la interactividad automatizada, hace clic, abre adjuntos y sigue enlaces hasta exponer la carga final.
-
Veredicto con evidencia
Procesos, conexiones de red, IOC y técnicas MITRE ATT&CK quedan a la vista, y el informe Tier 1 resume el veredicto y los siguientes pasos.
-
Contexto con TI Lookup
Los indicadores se buscan en TI Lookup para saber si pertenecen a una campaña activa y qué muestras e infraestructura están relacionadas.
-
Respuesta y detección
Tu equipo contiene el incidente con evidencia, lleva los IOC y las reglas a tu SIEM o SOAR, y TI Feeds mantiene al día la detección de campañas similares.
Casos de uso
Para quién es
Sirve a distintos equipos de la operación de seguridad, del primer nivel del SOC a la caza de amenazas.
SOC corporativos
Decisiones con evidencia en cada nivel, con menos escalamientos innecesarios.
- Triage de alertas y de phishing reportado
- Respuesta a incidentes y threat hunting
- Informes Tier 1 para escalar con contexto
- Gestión de equipo, SSO y privacidad
MSSP
Más clientes atendidos sin sacrificar la calidad del análisis.
- Flujos de análisis estandarizados para tus clientes
- Integración con SOAR para automatizar el triage
- Informes que se comparten con un enlace
- IOC frescos para las detecciones de tus clientes
Inteligencia y detección
Datos de ataques reales para cazar amenazas y crear detecciones.
- Búsqueda por IOC, TTP, YARA y Suricata
- Avisos cuando aparecen resultados nuevos
- Contexto por industria y país
- Feeds STIX/TAXII para SIEM, TIP y SOAR
Resultados
Lo que han logrado sus clientes
Menos tiempo de triage de phishing
Un MSSP especializado en salud bajó cada análisis de 30 a 40 minutos a entre 4 y 7, y su primer nivel pasó de cerrar el 20 % al 70 % de los casos.
Ahorrados en cada alerta
Un fabricante alemán, con 10.000 dispositivos y un equipo de seguridad de cinco personas, dejó su laptop forense aislado y ahorra en mediana 15 minutos por alerta.
Menos tiempo de investigación
El MSSP europeo Expertware redujo a menos de la mitad el tiempo de investigación de malware y extracción de IOC, sin mantener máquinas virtuales propias.
Menos escalamientos al nivel 2
Un proveedor SaaS del Fortune 500 redujo los escalamientos innecesarios y bajó en 40 % el tiempo de triage de cada archivo o enlace sospechoso.
Fuente: casos de estudio publicados por ANY.RUN.
Implementación con SCU
Cómo lo implementamos
Un proceso en cuatro fases para que ANY.RUN rinda desde el primer día.
-
Levantamiento
Entendemos cómo llegan hoy las alertas a tu equipo y dónde se pierde el tiempo.
- Fuentes de alertas: EDR, correo y reportes de usuarios
- SIEM, SOAR y TIP con que integrar
- Volumen de análisis y analistas que lo usarán
-
Diseño
Definimos qué productos y qué plan calzan con tu operación.
- Sandbox, TI Lookup, TI Feeds o una combinación
- Reglas de privacidad y acceso del equipo
- Flujos de análisis por tipo de alerta
-
Integración
Conectamos ANY.RUN con las herramientas que ya usas.
- Conectores con tu SIEM, SOAR o EDR
- Ingesta de TI Feeds por STIX/TAXII o API
- Playbooks de envío y enriquecimiento automático
-
Adopción y soporte
Acompañamos a tu equipo para que lo use en el día a día.
- Capacitación en análisis interactivo
- Afinamiento de flujos y reglas con casos reales
- Soporte en español con SLA definidos en conjunto
Preguntas frecuentes
Resolvemos tus dudas
Es un entorno aislado donde abres un archivo o una URL sospechosa en una máquina virtual y trabajas en ella en tiempo real, como lo haría un usuario: haces clic, escribes o abres archivos. Muchas amenazas esperan una acción humana, como resolver un CAPTCHA o abrir un archivo comprimido con contraseña, antes de mostrar su parte maliciosa. Así las detonas sin arriesgar tus equipos y ves todo lo que hacen.
Depende del plan. En el plan gratuito (Community) todos los análisis son públicos y cualquier usuario puede verlos, así que no debes subir información confidencial; además, ese plan no incluye uso comercial. Los planes Hunter y Enterprise Suite permiten análisis privados, visibles solo para ti o tu equipo. ANY.RUN no comparte los análisis privados con terceros y cuenta con atestación SOC 2 Type II.
No. ANY.RUN funciona como servicio en la nube: tu equipo trabaja desde el navegador, sin hardware ni laboratorios propios, y los servidores están en Alemania. Hoy no ofrece una versión on-premise. Se conecta con tu SIEM, SOAR, EDR o TIP mediante conectores, API y SDK, y los feeds se entregan en STIX/TAXII.
Ofrece conectores para Microsoft Sentinel y Defender, Splunk Enterprise y Splunk SOAR, Cortex XSOAR, IBM QRadar SIEM y SOAR, Elastic Security, FortiSIEM y FortiSOAR, Google SecOps SOAR, SentinelOne, OpenCTI, MISP, TheHive, Tines y Torq, entre otras plataformas. Cada conector cubre el sandbox, TI Lookup, TI Feeds o varios de ellos; para otros casos hay API y SDK.
Como suscripción anual. El sandbox se licencia por analista: Hunter para profesionales individuales y Enterprise Suite para equipos, con gestión de equipo, SSO, API e interactividad automatizada. La inteligencia de amenazas tiene planes propios (Live con TI Feeds, Core con TI Lookup y Complete con ambos) y existen precios combinados. Puedes probar los productos durante 14 días.
TI Lookup es un buscador: tu analista consulta un indicador y obtiene su contexto, las sesiones del sandbox donde apareció y las amenazas relacionadas, útil para triage, respuesta e investigación. TI Feeds es un flujo continuo de IP, dominios y URL maliciosos que se carga de forma automática en tu SIEM, TIP o SOAR para detectar y bloquear. Ambos se alimentan de los análisis del sandbox.
¿Tienes otra pregunta? Escríbenos y te respondemos.
Sigue explorando
Complementa ANY.RUN con nuestros servicios
Respuesta a Incidentes (IR)
Contenemos el incidente, encontramos por dónde entró el atacante y te ayudamos a volver a operar de forma segura. Con un retainer activo, tienes un canal de emergencia 24/7.
Ver servicioServicios de Inteligencia de Amenazas
Te decimos qué amenazas apuntan realmente a tu organización y qué hacer al respecto: monitoreo de actores de amenaza, exposición digital y protección de tus directivos.
Ver servicioPlataforma MDR con Underdefense
Un SOC humano 24/7 que detecta y responde a las amenazas sobre las herramientas de seguridad que ya tienes: detección y respuesta gestionada (MDR) en alianza con Underdefense.
Ver servicio¿Te mostramos ANY.RUN en acción?
Agenda una demo de 30 minutos: te mostramos la plataforma funcionando y cómo se adaptaría a tu infraestructura.
Solicitar una demo