Instalas un conversor de PDF gratuito y, una semana después, el navegador abre una página de búsqueda que nunca elegiste, aparecen anuncios en sitios que nunca los tuvieron y una barra de herramientas que quitaste vuelve a estar ahí a la mañana siguiente. No hay nada roto en el sentido habitual. Algo que instalaste trabaja para otra persona, y tiene nombre: malware.
Este artículo explica qué es el malware, cómo avanza una infección, sus tipos principales, cómo llega a los equipos y los teléfonos, las señales que debes vigilar y cómo eliminarlo en Windows, Mac, Android y iPhone con las herramientas que ya vienen integradas. Está escrito para la persona dueña del dispositivo; aquí no hay ninguna receta para atacantes.
¿Qué es el malware?
El malware es software escrito para actuar contra la persona que lo ejecuta: para dañar archivos, robar información, mostrar anuncios no deseados o entregar el control del dispositivo a otra persona. La palabra une los términos ingleses «malicious» (malicioso) y «software». El NIST, el instituto de normas de Estados Unidos, lo define como software o firmware destinado a realizar un proceso no autorizado que perjudica la confidencialidad, la integridad o la disponibilidad de un sistema (tus secretos, tus datos y tu acceso a ellos), y cita como ejemplos los virus, los gusanos, los caballos de Troya, el spyware y algunas formas de adware.
La intención separa el malware de un programa mal escrito: una app con errores falla por accidente; el malware hace daño a propósito. Y un virus es solo un tipo de malware; mucha gente dice «virus» para todo, y por eso el software de seguridad todavía se llama antivirus.
¿Cómo funciona una infección de malware?
Sea cual sea el tipo, la mayoría de las infecciones pasan por cinco etapas:
- Llegada. El malware llega como archivo, app, extensión del navegador o enlace.
- Ejecución. El malware no hace nada hasta que se ejecuta. Normalmente lo inicia el propio usuario, creyendo que es otra cosa; a veces un fallo en un software desactualizado, como un navegador antiguo, permite que arranque solo.
- Persistencia. Se asegura de arrancar después de cada reinicio, se oculta de la lista de programas en ejecución o cambia la configuración. Algunos programas maliciosos editan el archivo hosts, el pequeño archivo del sistema que asocia nombres de sitios con direcciones, para que el nombre de tu banco lleve al servidor equivocado; Archivo hosts: dónde está y cómo editarlo muestra cómo revisarlo y restablecerlo.
- Su trabajo. Copia contraseñas y archivos, muestra anuncios, registra las pulsaciones del teclado, cifra archivos para pedir un rescate o espera instrucciones.
- Propagación. Algunos tipos se copian en otros equipos de la red o envían el mismo cebo desde tus cuentas a tus contactos.
¿Qué tipos de malware existen?
Los tipos de malware se nombran según cómo se propagan o según lo que hacen, así que un mismo programa puede ser de dos tipos a la vez: un troyano puede llevar spyware.
| Tipo | Qué hace | Cómo podrías notarlo |
|---|---|---|
| Virus | Inserta una copia de sí mismo en otros programas o archivos | Archivos que cambian o dejan de abrirse |
| Gusano (worm) | Se propaga por una red por sí solo | Muchos dispositivos se vuelven lentos a la vez |
| Troyano (trojan) | Se hace pasar por un programa útil y esconde uno dañino | Los problemas empiezan justo después de una instalación |
| Software espía (spyware) | Recoge información en secreto y la envía fuera | Normalmente nada; más tarde alguien usa tus cuentas |
| Keylogger | Registra lo que escribes, contraseñas incluidas | Inicios de sesión desde lugares donde nunca has estado |
| Adware | Llena la pantalla de anuncios no deseados | Ventanas emergentes, pestañas nuevas, una página de inicio cambiada |
| Ransomware | Cifra o roba archivos y exige un pago | Una nota de rescate, archivos que no puedes abrir |
| Rootkit | Se oculta a sí mismo y a otro malware en lo profundo del sistema | Nada visible; lo encuentra un examen sin conexión |
| Malware de botnet | Convierte el dispositivo en un «bot» controlado a distancia | Lentitud, tráfico que no sabes explicar |
Los virus y los gusanos se diferencian en cómo se mueven. El NIST describe un virus como código que necesita que se inicie su programa anfitrión, y un gusano como un programa autónomo que se propaga por las redes sin programa anfitrión ni ayuda de nadie, así que un solo gusano puede llegar a muchas máquinas sin que nadie abra un archivo.
Los troyanos toman su nombre del caballo de madera de la leyenda griega: el programa parece hacer lo que promete mientras una parte oculta hace otra cosa. CISA, la agencia de ciberseguridad de Estados Unidos, advierte que el software gratuito a veces los contiene.
El spyware y los keyloggers buscan pasar desapercibidos y recogen lo que haces y escribes sin que lo sepas. El ransomware es lo contrario, porque se anuncia con una exigencia de pago; ¿Qué es el ransomware y cómo protegerte de él? explica qué hacer si te afecta.
Los rootkits trabajan por debajo del nivel en el que miran los programas normales y ocultan la actividad de un atacante después de que este toma el control total. También puedes ver el término malware sin archivos (fileless malware): Microsoft lo usa para amenazas que viven en la memoria o abusan de herramientas integradas de Windows en lugar de dejar un archivo normal, y señala que el término no tiene una definición única.
¿Cómo llega el malware a tu equipo o tu teléfono?
El malware casi siempre necesita tu ayuda para entrar, así que viaja donde parece algo que querías:
- Descargas falsas y pirateadas: versiones «gratis» de programas de pago, generadores de claves, botones de descarga en sitios para compartir archivos.
- Adjuntos y enlaces de correo: una factura o un documento compartido que te pide habilitar el contenido o instalar un «visor».
- Actualizaciones y alertas falsas: una página web que dice que tu navegador está desactualizado o que tu dispositivo está infectado.
- Extensiones del navegador: muchas pueden leer y cambiar los sitios que visitas, y una dañina puede insertar anuncios o recoger lo que escribes.
- Apps de fuera de las tiendas oficiales: una app de Android instalada desde un sitio web o desde un enlace en un mensaje se salta las comprobaciones de Google Play.
- Memorias USB encontradas en un estacionamiento o que pasan de mano en mano en una oficina.
Las apps gratis de VPN y de proxy merecen un apartado propio. Una app que no puedes vincular a una empresa conocida sigue siendo software que se ejecuta en tu dispositivo, y el servidor que hay detrás gestiona tu tráfico. Los investigadores que midieron proxies abiertos gratuitos en 2018 encontraron servidores que añadían código de minería de criptomonedas a las páginas y colocaban troyanos de acceso remoto en los programas descargados a través de ellos; ¿Son seguros los proxies gratis y los sitios web proxy? repasa esos resultados.
¿Cuáles son las señales de malware?
La señal más clara es un aviso de la herramienta de seguridad de tu propio sistema; si no lo hay, busca cambios que no hiciste tú. Ninguna señal por sí sola demuestra una infección, así que toma dos o tres juntas como motivo para hacer un examen.
En un equipo, la ayuda de Chrome de Google enumera las cuatro primeras como señales de software no deseado, y el NCSC, el National Cyber Security Centre del Reino Unido, añade las dos últimas:
- Anuncios emergentes y pestañas nuevas que no desaparecen.
- Una página de inicio o un buscador que cambian una y otra vez sin tu permiso.
- Extensiones o barras de herramientas que vuelven después de quitarlas.
- Búsquedas y enlaces que redirigen a sitios o anuncios desconocidos.
- Un equipo que de repente va lento, se reinicia sin motivo o abre y cierra programas por sí solo.
- Amigos que reciben correos extraños o peticiones de dinero desde tu cuenta.
En un teléfono, la ayuda de Android de Google cita reinicios espontáneos, bloqueos, fallos y lentitud como señales típicas de una app problemática, y las apps que no recuerdas haber instalado también son una alerta. El NCSC añade una más: una app que avisa de que el teléfono está rooteado o tiene jailbreak, es decir, que se le quitaron las restricciones que trae de fábrica, cuando tú nunca lo hiciste.
¿Cómo eliminar el malware?
Empieza con la protección que tu sistema ya tiene; no necesitas descargar nada de un sitio que encontraste con prisas. Si crees que algo está enviando tus datos en este momento, desconéctate primero de internet, como aconseja CISA para los PC de casa. En un dispositivo del trabajo, llama a tu equipo de TI antes de tocar nada.
Windows: haz un examen sin conexión de Microsoft Defender
Windows 10 y 11 incluyen el Antivirus de Microsoft Defender en la app Seguridad de Windows, que examina en segundo plano. Para el malware que se esconde mientras Windows está en marcha, usa el examen sin conexión:
- Abre Seguridad de Windows desde el menú Inicio y selecciona Protección antivirus y contra amenazas.
- Selecciona Opciones de examen, elige Antivirus de Microsoft Defender (examen sin conexión) y selecciona Examinar ahora.
- Guarda antes tu trabajo: el PC se reinicia, examina durante unos 15 minutos fuera de Windows y vuelve a reiniciarse.
- Consulta lo que se encontró en Historial de protección, dentro de Seguridad de Windows.
Microsoft explica que este examen se ejecuta sin cargar Windows, lo que le pone más difícil al malware persistente esconderse. Después, quita los programas que no reconozcas en Configuración > Aplicaciones > Aplicaciones instaladas. Si el navegador sigue comportándose de forma rara, quita las extensiones desconocidas y restablécelo; en Chrome es Configuración > Restablecer configuración.
Mac: protección integrada
Todos los Mac tienen un escáner de malware integrado, XProtect, que no necesita configuración. La guía de seguridad de la plataforma de Apple dice que bloquea el malware conocido, lo traslada a la papelera, te avisa en el Finder y elimina las infecciones cuando Apple envía información nueva, algo que macOS comprueba a diario por defecto.
Lo que te toca es mantener macOS actualizado y mover a la papelera las apps de la carpeta Aplicaciones que no reconozcas. En Ajustes del Sistema > Privacidad y seguridad, el menú Permitir aplicaciones de decide qué apps pueden abrirse; Apple considera App Store la opción más segura.
Android: Google Play Protect
Los teléfonos Android con Google Play tienen Play Protect, que revisa las apps al instalarlas y analiza el teléfono con regularidad, incluidas las apps de otras fuentes. Abre Play Store, toca tu icono de perfil y luego Play Protect, y comprueba en sus ajustes que Analizar aplicaciones con Play Protect esté activado. Cuando encuentra una app dañina, envía una notificación: tócala y después toca Desinstalar. La ayuda de Play Protect de Google añade que también puede eliminar una app dañina por su cuenta.
Si el teléfono sigue fallando, reinícialo en modo seguro, que desactiva las apps que descargaste, y quita las apps instaladas hace poco de una en una. La forma de entrar en modo seguro cambia según el fabricante.
iPhone y iPad
El malware en un iPhone es poco común, y el consejo de Apple para todos los usuarios es breve: instala las actualizaciones de software, instala apps del App Store, usa la autenticación de doble factor en tu cuenta de Apple y no abras enlaces ni adjuntos de remitentes desconocidos. La excepción es el spyware mercenario (mercenary spyware): ataques costosos contra un número muy pequeño de personas, como periodistas y activistas. Apple las avisa directamente y recomienda el Modo de aislamiento (Ajustes > Privacidad y seguridad > Modo de aislamiento), que limita de forma estricta determinadas apps, sitios web y funciones.
Después de la limpieza
Eliminar el malware no deshace lo que ya se llevó. CISA aconseja cambiar tus contraseñas, incluidas las guardadas en el navegador, y vigilar tus cuentas por si aparece actividad que no hiciste tú; hazlo desde un dispositivo limpio, empezando por el correo y el banco. Si el escáner no puede limpiar un PC, la guía del NCSC sobre dispositivos hackeados indica borrarlo y reinstalarlo todo, empezando por el sistema operativo; para un teléfono, considera el restablecimiento de fábrica la solución más segura. Restaura los archivos desde una copia de seguridad hecha antes de que empezara el problema, porque copiar datos de un dispositivo que sigue infectado puede arrastrar la infección.
¿Cómo protegerte del malware?
Casi toda la protección es cuestión de hábitos, no de software adicional:
- Mantén el sistema, el navegador y las apps actualizados, a ser posible de forma automática.
- Instala software solo desde la tienda oficial o el sitio del propio fabricante, nunca versiones pirateadas.
- Deja activada la protección integrada; un instalador que te pide desactivarla ya es una advertencia en sí.
- Nunca instales un programa porque te lo diga una ventana emergente o alguien que te llama.
- Quita las extensiones del navegador que ya no uses; en Chrome están en Extensiones > Gestionar extensiones.
- Usa una cuenta de usuario estándar para el día a día, para que un programa no pueda cambiar el sistema sin una contraseña de administrador.
- Guarda una copia de seguridad sin conexión de los archivos que no puedes perder; el malware del equipo no puede alcanzarla.
¿Un proxy o una VPN te protegen del malware?
No. Un proxy o una VPN cambian la ruta que sigue tu tráfico y la dirección IP que ven los sitios web; no revisan los archivos que descargas ni los programas que ejecutas. Bloquear los sitios maliciosos conocidos es tarea de las listas de advertencia del navegador y de tu software de seguridad.
Los equipos de seguridad usan proxies por otro motivo: para estudiar páginas maliciosas sin exponer su propia red. Una página de descarga maliciosa puede mostrar su carga dañina solo a los visitantes que parecen las víctimas previstas, como las conexiones domésticas de un país, y una página inofensiva a todos los demás. Por eso los analistas abren esos enlaces en máquinas aisladas, nunca con cuentas reales, a través de una salida de los Proxies residenciales en ese país, para poder documentar y denunciar la página.
Dónde te encuentras con el malware
En copias «gratis» de software de pago. En adjuntos de correo disfrazados de facturas. En extensiones del navegador con pocas reseñas o con un dueño nuevo. En apps instaladas desde enlaces en mensajes. En ventanas emergentes que dicen que tu dispositivo está infectado. En las redes de oficina, donde un equipo infectado puede llegar a los demás.
Errores frecuentes
- Descargar un «eliminador de malware» desde una ventana emergente. La ventana suele ser el problema; usa la herramienta que tu sistema ya tiene.
- Instalar varios antivirus. Windows desactiva el Antivirus de Microsoft Defender cuando instalas uno compatible de otro fabricante; quédate con un solo producto, actualizado.
- Cambiar las contraseñas en el dispositivo infectado. Un keylogger registra también la nueva.
- Restaurar una copia de seguridad hecha después de la infección. Trae el malware de vuelta directamente.
- Limpiar el sistema pero no el navegador. Las extensiones que quedan siguen redirigiéndote.
- Dar por hecho que un Mac o un iPhone no pueden tener malware. Poco común no es nunca.
Guía de decisión
| Tu situación | Qué hacer primero |
|---|---|
| Ventanas emergentes, pestañas nuevas, una página de inicio cambiada | Quitar extensiones y programas desconocidos, restablecer el navegador y luego hacer un examen |
| Una página web dice que tu dispositivo está infectado | Cerrar la pestaña; no llamar al número ni instalar nada |
| Windows falla después de una instalación | Desinstalar el programa y luego hacer un examen sin conexión |
| macOS movió un archivo a la papelera con un aviso | Dejarlo ahí y vaciar la papelera |
| Play Protect marcó una app | Tocar la notificación y luego Desinstalar |
| Tus contactos reciben mensajes que nunca enviaste | Examinar el dispositivo y cambiar esa contraseña desde un dispositivo limpio |
| Hay archivos cifrados y una nota de rescate | Desconectar el dispositivo y seguir primero las pautas sobre ransomware |
| El examen no puede eliminar el malware | Borrar y reinstalar, o restablecer de fábrica el teléfono; restaurar una copia anterior |
Preguntas frecuentes
¿El malware puede infectar un teléfono?
Sí. En Android la vía habitual es una app instalada fuera de Google Play o una app dañina que se coló en una tienda; la propia ayuda de Google llama malware a esas apps. En un iPhone el malware es raro y se limita sobre todo a spyware costoso dirigido a personas concretas.
¿Restablecer de fábrica elimina el malware?
Casi siempre: el NCSC considera el restablecimiento de fábrica la solución más segura para un teléfono infectado, y borrar y reinstalar hace lo mismo en un PC. Restaurar una copia de seguridad hecha después de la infección, o reinstalar la misma app, lo trae de vuelta. El malware oculto en el firmware de un dispositivo puede sobrevivir a una reinstalación, pero Microsoft describe esas amenazas como poco comunes.
¿Puedes infectarte con malware solo por visitar un sitio web?
Rara vez, si tu navegador y tu sistema están actualizados. La mayor parte del malware que llega desde sitios web necesita que descargues y abras algo, como una actualización falsa, un «reproductor de vídeo» o un documento. Un navegador desactualizado puede ser atacado por la propia página, y por eso importan las actualizaciones automáticas.
¿Es real una ventana emergente que dice «tu dispositivo está infectado»?
No cuando aparece en una página web. Los avisos reales vienen de Seguridad de Windows, de macOS o de tu app de seguridad, y Microsoft afirma que sus mensajes de error reales nunca incluyen un número de teléfono al que llamar. Google incluye esos avisos entre las señales de software no deseado, y el NCSC aconseja colgar a quien llame para decir que tu dispositivo está infectado.
¿Qué es el software antimalware y hace falta comprarlo?
Antimalware es otro nombre del software antivirus; los productos actuales buscan todo tipo de malware, no solo virus. Windows incluye el Antivirus de Microsoft Defender, los Mac incluyen XProtect y los teléfonos Android con Google Play incluyen Play Protect, así que la mayoría de los usuarios domésticos ya tiene uno en marcha. Un producto de otro fabricante es una opción, no un requisito.
¿El malware puede robar tus contraseñas?
Sí. Para eso existen el spyware y los keyloggers: leen las contraseñas guardadas en el navegador o las registran mientras escribes. Después de una infección, cambia tus contraseñas desde un dispositivo limpio, empezando por el correo, porque con el correo se puede restablecer casi todo lo demás.
En resumen
El malware es software que trabaja en tu contra, y casi siempre entra porque parece algo que querías. Vigila los cambios que no hiciste, usa la protección que tu sistema ya tiene y después cambia tus contraseñas desde un dispositivo limpio. Las actualizaciones, las tiendas de apps oficiales y tener menos extensiones evitan la mayoría de las infecciones. Los equipos que estudian páginas maliciosas encontrarán cómo usan los proxies para ese trabajo en nuestra página de seguridad de datos.
