El malware es el término general para el software malicioso que daña tus dispositivos o datos. Aquí tienes los tipos principales y la defensa que se mantiene igual sin importar de qué tipo se trate (sin pasos de ataque).
Los tipos de malware
Hay muchos nombres, pero todo lo que de verdad necesitas es una idea aproximada de qué tipos existen, porque, como se ve abajo, la defensa es compartida.
Virus
Se adhiere a un archivo legítimo y, al ejecutarse, se replica y se propaga. No puede actuar por sí solo.
Gusano
Se autorreplica por su cuenta y se propaga de forma automática por la red. Explota a través de redes sin reforzar.
Troyano
Se hace pasar por software útil y legítimo para entrar, y luego actúa de forma maliciosa en segundo plano. Lo instalas tú mismo.
Ransomware
Cifra los archivos y exige un rescate. Hoy suele ir unido al robo de datos: la doble extorsión (→ artículo dedicado).
Spyware
Se oculta sin ser notado y roba pulsaciones de teclas, credenciales e historial de navegación.
Bot / botnet
Controla de forma remota las máquinas infectadas y agrupa muchas para atacar. Las órdenes llegan desde un C2 (→C2).
En la práctica, una sola pieza de malware a menudo tiene varios de estos rasgos a la vez (p. ej., entra como troyano, actúa como spyware para robar datos y finalmente suelta ransomware). Precisamente por eso es más útil reforzar tus defensas de prevención / detección / recuperación que dedicar tiempo a «¿de qué tipo es este?».
Cómo se relacionan malware, virus, ransomware y puertas traseras
Estas palabras se usan juntas, pero no están al mismo nivel. Malware es el término genérico; las otras tres son tipos o funciones dentro de él.
| Término | Qué significa | Cómo distinguirlo |
|---|---|---|
| Malware | Término genérico para el software malicioso | Incluye los tres de abajo |
| Virus | Malware que se propaga adhiriéndose a otros archivos | No puede ejecutarse solo; se propaga cuando se ejecuta el archivo anfitrión |
| Ransomware | Malware que cifra archivos y exige un rescate | Se anuncia con una nota de rescate |
| Puerta trasera (en inglés) | Una vía oculta para volver a entrar que se salta la autenticación | Puede instalarse como malware, o crearse como un ajuste o una cuenta |
El nombre «antivirus» se mantiene por razones históricas; los productos actuales detectan mucho más que virus.
Principales vías de infección
El malware no aparece de la nada; entra por un conjunto predecible de vías. Aquí solo las vías de alto nivel (sin técnicas concretas).
En todos los casos, la vía es un hueco en las personas y las operaciones: abrir algo sin cuidado, dejar el software desactualizado, no comprobar de dónde viene. Las defensas de abajo bloquean la mayoría de ellas.
Defensa (el tipo cambia, el trabajo no)
No necesitas una contramedida distinta por tipo. Combina las tres defensas que funcionan contra el malware en general.
Previene la infección: actualizaciones, archivos sospechosos, MFA
Actualiza tu sistema operativo y tu software con regularidad para que las vulnerabilidades conocidas no queden sin parchear. No abras adjuntos, macros ni enlaces inesperados. Protege las cuentas clave con autenticación multifactor (MFA) para que unas credenciales robadas no signifiquen un compromiso instantáneo (→ cómo elegir MFA).
Añade una capa de detección: antivirus / EDR
Bloquea las amenazas conocidas con antivirus (incluido el integrado de tu sistema operativo) y, donde necesites más, usa EDR para vigilar el comportamiento y atrapar también el malware desconocido (→ qué es el EDR). Aun así, la detección no es perfecta: nunca te apoyes solo en ella.
Limita el daño: mínimo privilegio
No hagas el trabajo diario como administrador. Mantener los privilegios al mínimo significa que, aunque algo llegue a ejecutarse, no puede propagarse lejos: un dispositivo o una cuenta no arrastra a todo lo demás.
Poder recuperarse: copias de seguridad
La defensa final es una copia de seguridad. Contra el ransomware sobre todo, una copia sin conexión / inmutable más pruebas de restauración regulares es lo que decide el resultado (→ fundamentos de copias de seguridad y recuperación).
Antivirus tradicional (cotejar lo conocido)
- detecta cotejando la «huella» conocida de un malware (firma)
- ligero y eficaz contra amenazas de amplia circulación
- tiende a perderse variantes desconocidas / recién creadas
- a menudo se confunde con «instálalo y estás a salvo»
EDR (vigilar el comportamiento)
- detecta por comportamiento sospechoso (cifrado extraño, llamadas salientes), no por nombre de archivo
- nota ataques desconocidos y el «abuso de herramientas legítimas»
- deja un registro que puedes usar para investigar y contener tras una infección
- aun así no sustituye a la prevención (actualizaciones) ni a la recuperación (copias de seguridad)
La visión de este sitio: memorizar tipos no es una estrategia de defensa
Los atacantes cambian sin parar los nombres y las apariencias. Perseguir «el nombre de malware de este mes» no hará más fuerte tu defensa. Lo que funciona contra cualquier tipo es combinar prevención, detección y recuperación. Este sitio se aplica el mismo principio a sí mismo: mantenemos las dependencias actualizadas para prevenir la infección, monitorizamos CVE de forma automática para detectar, y mantenemos nuestra configuración reproducible para poder recuperarnos. Defenderse del malware no es nada especial; es una extensión de estas bases.
Ejemplo: Emotet
Una de las familias de malware que más daño causó en Japón fue Emotet. JPCERT/CC (el CERT nacional de Japón) advirtió sobre ella repetidamente desde aproximadamente 2019 y, tras una pausa, volvió a detectarse actividad a partir de noviembre de 2021.
- Vía de entrada
- Adjuntos de Word o Excel con macros, archivos ZIP protegidos con contraseña y enlaces en el cuerpo del correo. La infección se produce cuando el usuario habilita las macros o abre el enlace
- Tras la infección
- Roba del dispositivo el contenido de los correos y los contactos, y los usa para enviar más correos haciéndose pasar por socios comerciales reales
- Cómo se propaga
- Los socios y conocidos de la víctima reciben lo que parece una respuesta de una persona real
- Comprobación
- JPCERT/CC publicó una herramienta de comprobación, EmoCheck
La lección de Emotet es que lo básico funciona incluso cuando un correo parece la respuesta de alguien que conoces: no habilites las macros de los adjuntos y confirma los adjuntos inesperados con el remitente por otro canal. Otro ejemplo: en el robo de NEM a Coincheck, se señaló como primer paso de la intrusión el malware de unos correos enviados a empleados.
Cómo comprobar tus propios dispositivos
Windows: historial de protección y exámenes
Abre Configuración y luego Seguridad de Windows → Protección antivirus y contra amenazas. Revisa el historial de protección por si hay detecciones y ejecuta un examen completo desde Opciones de examen. Si no encuentra nada pero sigues sospechando, ejecuta en la misma pantalla el examen de Microsoft Defender sin conexión para revisar el PC sin iniciar Windows.
Mira qué se inicia automáticamente y las extensiones
Revisa la pestaña de aplicaciones de inicio del Administrador de tareas y la lista de extensiones del navegador por si hay algo que no instalaste. Si es así, desactívalo y elimínalo.
Móviles: apps y perfiles de configuración
En Android, ejecuta un análisis de Google Play Protect y elimina las apps de orígenes desconocidos. En iPhone, revisa Ajustes → General → VPN y gestión de dispositivos por si hay perfiles que no reconozcas.
Revisa también tus cuentas
Revisa el historial de inicios de sesión del correo, las redes sociales y la banca en línea, y comprueba las reglas de reenvío automático del correo. Aunque el malware ya no esté en el dispositivo, las contraseñas robadas siguen funcionando, así que cámbialas desde otro dispositivo seguro.
«Tengo antivirus, así que estoy bien» no es verdad
El error más común es confiar por completo en una sola herramienta de detección. La detección siempre se pierde una cierta fracción, y en cuanto algo la supera, ya no queda nada que te proteja.
Lo que funciona es combinar defensas: reduce el volumen con la prevención (no abrir, sí actualizar), atrapa lo que quede con la detección (antivirus / EDR) y deshaz el daño de lo que aún se cuele con la recuperación (copias de seguridad). No apoyarse en ninguna capa única es donde empieza la defensa contra el malware.
Fuentes (primarias)
- JPCERT/CC, «Alerta sobre la nueva propagación de infecciones de Emotet» (en japonés) — jpcert.or.jp (vías de infección, EmoCheck)
- Soporte de Microsoft, «Virus and threat protection in the Windows Security app» — support.microsoft.com (exámenes y examen sin conexión; en inglés)
Sigue leyendo
-
¿Te ha salido un aviso de «tu PC está infectado»? Cómo cerrar una estafa de soporte técnico y qué hacer si llamaste (en inglés)
-
Glosario: qué es el ransomware (el tipo más dañino: doble extorsión) · qué es el C2 (mando y control) (cómo se operan los bots)
-
Glosario: qué es el EDR (detectar lo desconocido por el comportamiento) · qué es un IOC (rastros de una infección)
-
Aprende: fundamentos de copias de seguridad y recuperación (cómo recuperarse tras un incidente) · la lista de comprobación de la base de seguridad (lo básico de prevención, detección y recuperación)
-
Caso: el robo de NEM a Coincheck (2018) (malware entregado por phishing dirigido robó la clave privada de un monedero caliente, el primer paso de una pérdida de ~530 M USD)