Ghidra vs IDA vs Radare2: Comparativa de Reversing Frameworks

El papel del desensamblador en análisis de malware

El desensamblador (o disassembler) es la herramienta central del reverse engineering. Convierte código máquina binario en instrucciones de ensamblador legibles, y en el mejor caso, en pseudocódigo C/C++ (decompilación). Para el análisis de malware, el desensamblador permite entender qué hace un binario sin ejecutarlo: qué funciones llama, qué datos manipula, cómo se comunica con el C2, dónde persiste y cómo evade la detección.

Tres frameworks dominan el mercado: IDA Pro (comercial, estándar de la industria), Ghidra (gratuito, NSA) y Radare2/Rizin (gratuito, CLI). Cada uno tiene filosofía, fortalezas y debilidades diferentes.

Ghidra

Historia y contexto

Ghidra fue desarrollado por la NSA como herramienta interna durante más de una década antes de ser publicado como software de código abierto en marzo de 2019 durante la conferencia RSA. Su liberación transformó el panorama del reverse engineering: por primera vez, un desensamblador y decompilador de calidad profesional estaba disponible gratuitamente.

Instalación

# Requisitos: JDK 17+
# Descargar desde https://ghidra-sre.org/

# Linux / macOS
unzip ghidra_X.Y.Z_PUBLIC.zip
cd ghidra_X.Y.Z_PUBLIC
./ghidraRun

# Windows
# Ejecutar ghidraRun.bat

Características principales

Decompilador integrado: Ghidra incluye un decompilador que produce pseudocódigo C legible para múltiples arquitecturas. Es la funcionalidad más valiosa y la que más tiempo ahorra en análisis.

Multi-arquitectura: soporta x86, x64, ARM, MIPS, PowerPC, SPARC, y muchas más. Ideal para análisis de malware IoT y firmware.

Scripting con Java y Python: Ghidra permite automatización completa con scripts:

# Ghidra Python script: extraer strings interesantes
from ghidra.program.model.data import StringDataType

listing = currentProgram.getListing()
for string in listing.getStrings(True):
    value = string.getValue()
    if any(kw in value.lower() for kw in ["http", "cmd", ".exe", "reg "]):
        print(f"[*] {string.getAddress()}: {value}")

Collaboration Server: permite trabajo en equipo sobre el mismo proyecto, con control de versiones de anotaciones y análisis.

Patch Diffing: comparación de binarios para identificar cambios entre versiones (útil para análisis de parches de seguridad).

Flujo de trabajo en Ghidra

1. CREAR PROYECTO
   File → New Project → nombre del caso

2. IMPORTAR BINARIO
   File → Import File → seleccionar muestra
   Ghidra detecta formato (PE, ELF, Mach-O) automáticamente

3. ANÁLISIS AUTOMÁTICO
   Aceptar "Auto Analysis" cuando Ghidra lo sugiera
   Opciones importantes:
   - Aggressive Instruction Finder: sí
   - Decompiler Parameter ID: sí
   - WindowsPE x86 Propagate External Parameters: sí (para PE)

4. NAVEGACIÓN
   - Symbol Tree: funciones, imports, exports, clases
   - Listing: vista de desensamblado
   - Decompile: pseudocódigo C
   - Defined Strings: todas las strings del binario

5. ANÁLISIS MANUAL
   - Renombrar funciones con nombres descriptivos
   - Añadir comentarios
   - Definir tipos de datos de estructuras
   - Seguir references (Ctrl+Shift+F para buscar XRefs)

Strengths y weaknesses

Fortalezas:

• Gratuito y open source
• Decompilador potente incluido
• Multi-arquitectura (ARM, MIPS, etc.)
• Scripting extensivo (Java/Python)
• Collaboration server para equipos
• Comunidad activa y creciente

Debilidades:

• Interfaz Java puede ser lenta
• El auto-analysis es más lento que IDA
• La decompilación de código C++ complejo es inferior a Hex-Rays
• Debugging limitado (requiere plugins adicionales)
• Curva de aprendizaje de la interfaz

IDA Pro

Historia y contexto

IDA (Interactive DisAssembler) fue creado por Ilfak Guilfanov en los años 90 y se convirtió en el estándar de la industria para reverse engineering. Hex-Rays, el decompilador que se vende como complemento de IDA, produjo la primera decompilación a pseudocódigo C de calidad comercial y sigue siendo la referencia del mercado.

Versiones disponibles

Versión	Precio	Decompilador	Arquitecturas	Uso
IDA Free	Gratis	No	x86, x64, ARM	Aprendizaje
IDA Home	~365 EUR/año	Cloud (limitado)	x86, x64, ARM	Uso personal
IDA Pro	Miles de EUR	Hex-Rays (local)	Todas	Profesional

Características principales

Hex-Rays Decompiler: el decompilador más maduro y preciso del mercado. Produce pseudocódigo C/C++ de alta calidad incluso para código optimizado y ofuscado.

FLIRT (Fast Library Identification and Recognition): identifica automáticamente funciones de librerías estándar (CRT, STL, WinAPI), reduciendo drásticamente el ruido en el análisis.

IDAPython: scripting con Python integrado, con acceso completo a la API de IDA:

# IDAPython: listar todas las funciones que llaman a CreateRemoteThread
import idautils
import idc

for xref in idautils.CodeRefsTo(idc.get_name_ea_simple("CreateRemoteThread"), 0):
    func = idaapi.get_func(xref)
    if func:
        print(f"[!] {idc.get_func_name(func.start_ea)} calls CreateRemoteThread at {hex(xref)}")

Type Libraries: extensa colección de definiciones de tipos para APIs de Windows, Linux, macOS y frameworks comunes.

Debugger integrado: debugging local y remoto con soporte para Windows, Linux, macOS y vía GDB/LLDB.

Strengths y weaknesses

Fortalezas:

• Decompilador Hex-Rays: el mejor del mercado
• FLIRT: identificación de librerías excepcional
• Velocidad de análisis superior
• Estabilidad: décadas de madurez
• Plugins y comunidad masiva
• Type Libraries extensas
• Debugger integrado potente

Debilidades:

• Precio alto (miles de euros para uso comercial)
• Licenciamiento por plataforma (cada arquitectura se paga aparte)
• Código cerrado
• IDA Free es muy limitada
• La interfaz, aunque funcional, muestra su edad

Radare2 / Rizin

Historia y contexto

Radare2 (r2) fue creado por pancake (Sergi Álvarez) en 2006 como una herramienta de línea de comandos para reverse engineering. Su filosofía es la de las herramientas Unix: hacer una cosa bien, combinable con otras herramientas, y completamente scriptable.

Rizin es un fork de Radare2 (2020) con enfoque en estabilidad, API limpia y Cutter como GUI oficial. Ambos proyectos coexisten y comparten mucha funcionalidad.

Instalación

# Radare2
git clone https://github.com/radareorg/radare2.git
cd radare2
sys/install.sh

# Rizin (fork)
meson setup build
ninja -C build
sudo ninja -C build install

# Cutter (GUI para Rizin)
# Descargar AppImage desde https://cutter.re/

Uso básico

# Abrir un binario
r2 sample.exe

# Analizar el binario
[0x00401000]> aaa    # Analyze All Autoname

# Listar funciones
[0x00401000]> afl    # Analyze Function List

# Ir a main
[0x00401000]> s main

# Desensamblado
[0x00401000]> pdf    # Print Disassembly Function

# Buscar strings
[0x00401000]> iz     # Strings in data sections
[0x00401000]> izz    # All strings

# Buscar patrones
[0x00401000]> / http://    # Buscar string literal
[0x00401000]> /x 4d5a      # Buscar bytes hex (MZ header)

# Cross references
[0x00401000]> axt @@ sym.*  # XRefs a todos los símbolos

# Modo visual
[0x00401000]> V     # Visual mode
[0x00401000]> VV    # Graph mode

# Decompilación (requiere plugin r2ghidra)
[0x00401000]> pdg   # Decompile con Ghidra

Scripting y automatización

Radare2 brilla en automatización:

# Script r2pipe (Python)
import r2pipe

r2 = r2pipe.open("sample.exe")
r2.cmd("aaa")

# Listar funciones sospechosas
functions = r2.cmdj("aflj")
suspicious_apis = ["VirtualAlloc", "CreateRemoteThread", "WriteProcessMemory"]

for func in functions:
    disasm = r2.cmd(f"pdf @ {func['offset']}")
    for api in suspicious_apis:
        if api in disasm:
            print(f"[!] {func['name']} calls {api}")

r2.quit()

# One-liner para extraer strings de un directorio de muestras
for f in samples/*; do r2 -q -c "iz~http" "$f"; done

Cutter (GUI)

Cutter proporciona una interfaz gráfica moderna para Rizin/Radare2:

• Vista de grafo de funciones
• Decompilador integrado (Ghidra como backend)
• Panel de strings, imports, exports
• Debugger visual
• Temas personalizables
• Plugins de la comunidad

Strengths y weaknesses

Fortalezas:

• Completamente gratuito y open source
• CLI potente para automatización
• Ideal para scripting y pipelines
• Ligero (funciona en cualquier sistema)
• r2pipe: scriptable desde Python, JS, Go, Rust
• Cutter: GUI moderna y funcional
• Soporte para muchas arquitecturas

Debilidades:

• Curva de aprendizaje muy alta (CLI con comandos crípticos)
• Decompilador nativo no incluido (requiere r2ghidra plugin)
• La documentación puede ser inconsistente
• La comunidad es más técnica y menos accesible
• La estabilidad ha mejorado pero aún tiene bugs edge-case

Comparativa directa

Funcionalidades

Característica	Ghidra	IDA Pro	Radare2/Rizin
Precio	Gratis	Miles EUR	Gratis
Código abierto	Sí	No	Sí
Decompilador	Incluido	Hex-Rays (extra)	Plugin (r2ghidra)
GUI	Sí (Java)	Sí (Qt)	Cutter (Qt)
CLI	Limitada	Limitada	Excelente
Scripting	Java/Python	IDAPython	r2pipe (multi-lang)
Velocidad análisis	Media	Rápida	Media
Multi-arch	Excelente	Excelente	Excelente
Debugger	Plugin	Integrado	Integrado
Collaboration	Server nativo	No nativo	No nativo
Plugins	Creciendo	Enorme	Activa

Calidad de decompilación

Escenario	Ghidra	Hex-Rays	r2ghidra
C simple	Excelente	Excelente	Bueno
C++ con STL	Bueno	Excelente	Aceptable
Código optimizado (O2)	Bueno	Excelente	Aceptable
Código ofuscado	Aceptable	Bueno	Aceptable
Go binaries	Bueno	Bueno	Aceptable
Rust binaries	Aceptable	Bueno	Limitado
.NET (con plugin)	Bueno	Bueno	Limitado

Cuándo usar cada uno

Escenario	Recomendación
Analista SOC/CTI (triage rápido)	Ghidra
Reverse engineering profesional	IDA Pro (si hay presupuesto)
Automatización y pipelines	Radare2
Análisis de IoT/firmware (ARM, MIPS)	Ghidra o Radare2
Formación y aprendizaje	Ghidra
Empresa con presupuesto	IDA Pro + Ghidra
Investigador individual	Ghidra + Radare2
CTF y competiciones	Ghidra o Radare2

Herramientas complementarias

Independientemente del framework elegido, estas herramientas complementan el análisis:

Herramienta	Uso
Binary Ninja	Desensamblador comercial intermedio (precio entre Ghidra y IDA)
x64dbg	Debugger dinámico para Windows (complementa al desensamblador estático)
capa	Detección automática de capacidades mapeadas a ATT&CK
FLOSS	Extracción de strings ofuscadas
Detect It Easy	Identificación de packer/compilador
dnSpy	Decompilador específico para .NET
JD-GUI	Decompilador específico para Java

Recomendación práctica

Para un analista de malware que empieza:

1. Empezar con Ghidra: es gratuito, tiene decompilador incluido, y la comunidad tiene muchos tutoriales
2. Aprender los conceptos: funciones, control flow, calling conventions, API patterns
3. Complementar con Radare2/Cutter: para automatización y análisis rápido desde CLI
4. IDA Pro solo si la empresa lo proporciona: la inversión personal no se justifica cuando Ghidra es tan capaz

Para un equipo profesional de análisis de malware:

1. IDA Pro como herramienta principal (el ROI del tiempo ahorrado justifica el coste)
2. Ghidra como segunda herramienta (colaboración, arquitecturas exóticas, scripts personalizados)
3. Radare2 para automatización en pipelines de análisis

El ecosistema de reverse engineering nunca ha sido tan accesible. Con Ghidra gratuito y un decompilador incluido, la barrera de entrada para el análisis de malware se ha reducido enormemente. La elección del framework es menos importante que el conocimiento de los conceptos fundamentales de reverse engineering.