de virus y troyanos
Cuando, pese a todo, algo malicioso entra en el equipo, hay que saber reconocerlo, contenerlo, eliminarlo por completo (también lo que deja para volver a arrancar) y recuperar la normalidad sin perder datos.
Hoy el «virus» clásico es minoritario. Predominan los troyanos ladrones de información (infostealers), los troyanos de acceso remoto, el ransomware y el malware distribuido mediante anuncios falsos, «cracks», extensiones de navegador y apps del móvil. Se incluye el método de respuesta en fases y la revisión de la persistencia.
| Tipo | Qué hace | Ejemplo de efecto |
|---|---|---|
| Virus | Se adjunta a otros archivos y se propaga al ejecutarlos | Archivos infectados, daños |
| Gusano | Se propaga solo por la red aprovechando fallos | Infección masiva de una red |
| Troyano | Se presenta como algo útil y abre la puerta a otras acciones | Ver variantes abajo |
| Ransomware | Cifra los archivos y pide rescate; a menudo antes roba datos (doble extorsión) | Archivos con extensión extraña y una nota de rescate |
| Spyware / stalkerware | Espía la actividad, la ubicación o los mensajes | Batería y datos consumidos, alguien «sabe» cosas |
| Adware / PUP | Publicidad invasiva, cambios en el navegador | Buscador cambiado, ventanas emergentes |
| Rootkit | Se oculta en lo profundo del sistema para esconder otros programas | Difícil de ver con el sistema en marcha |
| Criptominero | Usa tu equipo para minar criptomonedas | CPU o GPU al 100 %, ventilador sin parar |
| Bot | Convierte el equipo en parte de una red controlada (botnet) | Envío de spam, ataques a terceros |
Los troyanos de hoy
- Correo y mensajería: adjuntos (facturas, «pedidos», currículums) en ZIP, ISO, documentos con macros o accesos directos
.lnk. - Anuncios falsos en buscadores: el primer resultado «Patrocinado» de un programa popular lleva a una copia con troyano.
- Software pirata, «cracks», «activadores» y trucos para juegos.
- Falsos CAPTCHA o «Corregir error» que te piden pulsar ⊞+R y pegar un comando: lo estás instalando tú. Nunca pegues comandos que te pida una web.
- Extensiones de navegador maliciosas o compradas por terceros tras hacerse populares.
- Pendrives encontrados o compartidos.
- Vulnerabilidades sin parchear en el sistema, el navegador o el router.
- Apps fuera de la tienda (
.apk) en el móvil.
Muchos malware actuales no dan ninguna señal: por eso son importantes la prevención y los exámenes periódicos. Aun así, sospecha si ves:
El malware se asegura de arrancar de nuevo tras reiniciar. Si eliminas el archivo pero no su punto de arranque (o al revés), puede regenerarse. Estos son los lugares que hay que revisar:
| Lugar | Dónde se revisa |
|---|---|
| Aplicaciones de arranque | Administrador de tareas › Aplicaciones de arranque; carpeta shell:startup |
| Claves Run del registro | HKCU\Software\Microsoft\Windows\CurrentVersion\Run y la equivalente en HKLM |
| Tareas programadas | Programador de tareas (taskschd.msc) |
| Servicios | services.msc: servicios con nombres extraños o rutas en carpetas de usuario |
| Extensiones del navegador | edge://extensions, chrome://extensions |
| Todo junto | Autoruns de Microsoft Sysinternals: lista todos los puntos de arranque y marca los que no están firmados |
AppData, Temp o ProgramData con nombres aleatorios o que imitan a Windows (svch0st.exe, scvhost.exe), sin editor verificado. El svchost.exe legítimo está siempre en C:\Windows\System32.y eliminación
Herramientas de eliminación
- Microsoft Defender: examen completo; luego sin conexión. En Historial de protección, Quitar o dejar en cuarentena (aislado y sin poder ejecutarse).
- Segunda opinión: Microsoft Safety Scanner, Malwarebytes.
- Desinstalar el programa malicioso o no deseado desde Configuración.
- Restablecer el navegador: Configuración › Restablecer configuración (Chrome/Edge) o Actualizar Firefox.
- Restaurar sistema a un punto anterior a la infección.
- Restablecer este PC / reinstalar: si se trataba de un RAT, un rootkit o un ransomware, es la única forma de estar seguro.
nomoreransom.org: para algunas familias existen descifradores gratuitos.Siete casos de respuesta a incidentes en un Windows simulado: procesos, autoarranque, servicios, Visor de eventos, restauración con VSS y terminal. Tienes la guía paso a paso en los complementos.
Abrir el simulador ↗ Guía paso a paso ↗- Activa el modo avión para cortar comunicaciones (y que no lleguen ni salgan SMS).
- Android: reinicia en modo seguro (mantén pulsado Apagar en la pantalla de apagado) para que no arranquen las apps de terceros.
- Quita a la app sospechosa los permisos de administrador del dispositivo y accesibilidad y desinstálala.
- Ejecuta Play Protect.
- Si dudas o si es un troyano bancario: copia de fotos y contactos, restablecimiento de fábrica, avisa al banco y cambia las contraseñas desde otro dispositivo.
- iPhone: el malware es raro; revisa perfiles de configuración desconocidos (Ajustes › General › VPN y gestión de dispositivos) y actualiza.
| Término | Significado |
|---|---|
| Cuarentena | Zona aislada donde el antivirus guarda archivos maliciosos sin que puedan ejecutarse. |
| EICAR | Archivo de prueba estándar e inofensivo que todos los antivirus detectan. |
| Infostealer | Troyano que roba contraseñas, cookies y datos del navegador. |
| Persistencia | Mecanismo que usa un malware para volver a ejecutarse tras reiniciar. |
| RAT | Troyano de acceso remoto. |
| Rootkit | Malware que se oculta en el sistema y esconde otros programas. |
| Sysinternals | Conjunto de herramientas avanzadas de Microsoft para Windows (Autoruns, Process Explorer). |
¿Qué tipo de malware roba las cookies de sesión y contraseñas guardadas en el navegador?
- Adware
- Gusano
- Criptominero
- Infostealer
Con las cookies robadas pueden entrar incluso con 2FA.
Una web te dice «Para verificar que no eres un robot, pulsa ⊞+R, pega este texto y pulsa Intro». ¿Qué es?
- Un CAPTCHA normal
- Un engaño para que instales tú el malware
- Una actualización de Windows
- Un aviso de INCIBE
Nunca pegues comandos que te pida una web.
El ventilador va a tope en reposo y la GPU está al 100 % sin ningún programa abierto. ¿Qué sospechas?
- Un criptominero
- Adware
- Phishing
- Un bulo
Usan tu hardware para minar.
¿Cuál es el primer paso ante un equipo infectado?
- Pagar el rescate.
- Formatear sin copiar nada.
- Desconectarlo de la red para contener el ataque.
- Cambiar las contraseñas desde ese mismo equipo.
Contener evita que se propague o siga enviando datos.
¿Desde dónde debes cambiar las contraseñas tras una infección con un infostealer?
- Desde el equipo infectado.
- Desde cualquier equipo público.
- No hace falta cambiarlas.
- Desde otro dispositivo limpio.
En el equipo infectado, el malware vería las nuevas.
¿Qué herramienta muestra en una sola pantalla todos los puntos de arranque de Windows?
- Paint
- Autoruns de Sysinternals
- Bloc de notas
- winver
Marca los elementos no firmados.
Ves un proceso svch0st.exe ejecutándose desde C:\Users\Ana\AppData\Roaming. ¿Qué piensas?
- Muy sospechoso: imita a svchost.exe y está en una carpeta de usuario.
- Es normal en Windows.
- Es Microsoft Defender.
- Es una actualización.
El legítimo es svchost.exe en C:\Windows\System32.
Defender lo elimina, pero el malware reaparece tras cada reinicio. ¿Qué falta?
- Vaciar la papelera.
- Cambiar el fondo de pantalla.
- Eliminar su persistencia (tarea programada, clave Run, servicio…).
- Desfragmentar.
Algo lo vuelve a descargar o ejecutar al arrancar.
¿Qué examen de Defender detecta mejor un rootkit?
- Rápido
- Personalizado
- De una carpeta
- Sin conexión
Analiza fuera de Windows, donde el rootkit no puede esconderse.
Tus archivos aparecen con extensión .lockbit y una nota de rescate. ¿Qué no debes hacer?
- Desconectar el equipo.
- Pagar el rescate.
- Consultar nomoreransom.org.
- Restaurar desde la copia de seguridad.
Pagar no garantiza nada y financia a los delincuentes.
Una app de Android sospechosa no se deja desinstalar. ¿Qué haces?
- Arrancar en modo seguro y quitarle el permiso de administrador del dispositivo.
- Dejarla, no pasa nada.
- Darle más permisos.
- Apagar el Wi-Fi solamente.
El permiso de administrador impide desinstalarla.
¿Para qué sirve el archivo de prueba EICAR?
- Para infectar equipos de forma controlada.
- Para acelerar el antivirus.
- Para comprobar, sin riesgo, que el antivirus detecta y actúa.
- Para desactivar Defender.
Es inofensivo: solo es un texto que todos los antivirus reconocen.
Tu progreso
—