Any.run
What it is — Any.run is an interactive malware sandbox: you upload a file or URL and it runs it on a real virtual machine inside your browser, live. Unlike a purely static verdict (like VirusTotal's), here you see the actual behaviour: processes spawned, network traffic, Windows registry changes, files written — and you can even interact with the VM yourself (dismiss dialogs, click around) so the malware "feels" like it's being watched by a real user.
| Type | Interactive web sandbox |
| Cost | Limited free tier · paid plans for private analysis |
| URL | any.run |
How to use it
Upload the file or paste the URL, choose the OS (Windows/Linux, different versions), and start the analysis. Within seconds you have a live VM in your browser running the sample:
# 1. Upload/Submit -> choose OS -> Run
# 2. Watch the process tree and network traffic live
# 3. Download the report (IOCs, hashes, generated YARA/Sigma rules)When to use it instead of VirusTotal: when VirusTotal's static verdict isn't conclusive (few engines detect it, or the binary is packed/obfuscated) — Any.run's dynamic analysis reveals the actual behaviour even when the file itself looks clean at first glance.
What I use it for
- Second opinion after VirusTotal: if a binary from a CTF or a suspicious sample isn't clear from the static verdict, I run it here to see what it actually does.
- Extracting IOCs quickly: C2 IPs, contacted domains, created files — all listed automatically, saving manual analysis time.
- Understanding techniques without risking my own machine: I never run a suspicious sample on my real machine — Any.run gives me a disposable, isolated environment for that.
Link
Qué es — Any.run es un sandbox interactivo de malware: subes un fichero o una URL y lo ejecuta en una máquina virtual real dentro del navegador, en directo. A diferencia de un análisis puramente estático (como el veredicto de VirusTotal), aquí ves el comportamiento real: procesos creados, tráfico de red, cambios en el registro de Windows, ficheros escritos — e incluso puedes interactuar con la VM tú mismo (cerrar diálogos, hacer clic) para que el malware "se sienta observado" por un usuario real.
| Tipo | Sandbox interactivo web |
| Coste | Plan gratuito limitado · planes de pago para análisis privados |
| URL | any.run |
Cómo se usa
Subes el fichero o pegas la URL, eliges sistema operativo (Windows/Linux, distintas versiones) y arrancas el análisis. En segundos tienes una VM en directo en el navegador donde se ejecuta la muestra:
# 1. Upload/Submit -> elegir SO -> Run
# 2. Observar el arbol de procesos y el trafico de red en tiempo real
# 3. Descargar el informe (IOCs, hashes, reglas YARA/Sigma generadas)Cuándo usarlo en vez de VirusTotal: cuando el veredicto estático de VirusTotal no es concluyente (pocos motores lo detectan, o el binario está empaquetado/ofuscado) — el análisis dinámico de Any.run revela el comportamiento real aunque el fichero en sí parezca limpio a primera vista.
Para qué lo uso yo
- Segunda opinión tras VirusTotal: si un binario en un CTF o una muestra sospechosa no está claro con el veredicto estático, lo ejecuto aquí para ver qué hace realmente.
- Extraer IOCs rápido: IPs de C2, dominios contactados, ficheros creados — todo queda listado automáticamente, ahorra tiempo de análisis manual.
- Entender técnicas sin arriesgar mi propio equipo: nunca ejecuto una muestra sospechosa en mi máquina real — Any.run me da un entorno desechable y aislado para eso.