¿Qué es un malware? Tipos, comportamiento y respuesta
Malware agrupa programas creados para realizar acciones dañinas; su detección exige separar capacidades, ejecución observada e impacto confirmado.
Malware es el nombre general para software o código diseñado para realizar acciones maliciosas o no autorizadas en un equipo, una red o un servicio. No describe una única técnica: puede robar información, abrir acceso remoto, espiar actividad, alterar datos, cifrar archivos o instalar otros componentes. La familia se reconoce por comportamiento y objetivo, no por una animación de calavera ni por el nombre que aparezca en una alerta.
NIST trata el malware como un problema de prevención y respuesta que puede afectar a equipos individuales o extenderse por una organización. La palabra incluye amenazas distintas que comparten una intención dañina, aunque sus mecanismos y consecuencias varíen. Virus, gusanos, troyanos, spyware, ransomware y descargadores son ejemplos habituales, pero las categorías pueden solaparse: una cadena de ataque puede usar un troyano para instalar un cargador y desplegar después otra herramienta.
Además, el nombre de una familia no siempre es universal. Un proveedor puede agrupar muestras bajo un alias y otro usar una etiqueta distinta. Conviene atribuir los nombres a quien realizó el análisis y describir los comportamientos observados, en vez de asumir que dos etiquetas distintas demuestran amenazas separadas o que un mismo nombre implica idéntica actividad.
Qué hace y cómo llega
Un virus se adjunta a un archivo o programa y suele depender de que ese contenido se ejecute; un gusano puede propagarse entre sistemas aprovechando condiciones de red o fallos; un troyano se presenta como algo legítimo para conseguir que la víctima lo ejecute. El ransomware busca extorsionar, normalmente cifrando datos o amenazando con publicar información. El spyware recopila actividad o datos sin consentimiento. Un loader descarga o prepara otras cargas maliciosas. Son descripciones generales, no reglas que identifiquen por sí solas una muestra concreta.
El malware puede llegar por adjuntos, descargas, software comprometido, credenciales robadas, vulnerabilidades, medios extraíbles o servicios expuestos. El vector de entrada y la carga final no son lo mismo: un correo puede iniciar una cadena, pero el código que se ejecuta después puede cambiar según las acciones del atacante o las defensas del equipo. Por eso una alerta con una familia conocida no basta para reconstruir toda la secuencia ni afirmar cuántos sistemas resultaron afectados.
-SecureCrew dice: Llamar “virus” a cualquier malware informa de que hay código malicioso; también lo haría “coche” para una excavadora, pero no explica qué trabajo está haciendo.-
Algunas muestras buscan persistencia, otras roban contraseñas y otras permanecen ocultas hasta recibir instrucciones. Una capacidad observada no equivale a una campaña activa: los investigadores distinguen lo que una muestra puede hacer de lo que se ha observado en un entorno concreto. También hay nombres diferentes para variantes relacionadas y falsos positivos que requieren revisión. El análisis debe conservar evidencia del producto, la versión, la fecha y el contexto de detección.
Detección y prevención
Una detección puede proceder de una firma, un comportamiento sospechoso, una regla o una señal de un servicio de protección. Es un indicio para investigar, no una medición automática del impacto. Un archivo puesto en cuarentena quizá no llegó a ejecutarse; una detección posterior a la ejecución puede requerir un análisis distinto. La telemetría disponible marca lo que puede afirmarse: ausencia de alerta no demuestra ausencia de malware si faltan registros o cobertura.
La prevención combina varias capas: mantener sistemas y aplicaciones, limitar privilegios, reducir servicios innecesarios, controlar qué software puede ejecutarse y proteger credenciales. CISA recomienda mecanismos como listas de aplicaciones permitidas y EDR para ayudar a detectar o bloquear software no autorizado, además de mantener inventario y preparar procedimientos de respuesta. Ningún control cubre todas las técnicas ni reemplaza la revisión de alertas y excepciones.
-SecureCrew dice: El antivirus sin alertas puede significar que la protección funciona; también que el equipo dejó de enviar telemetría. La diferencia merece una comprobación.-
Si existe sospecha de infección, la respuesta debe seguir el plan de incidentes de la organización. Las recomendaciones de CISA para ransomware incluyen aislar los sistemas afectados cuando corresponda, priorizar activos críticos y coordinar análisis y recuperación. Aislar no es lo mismo que borrar: preservar registros y datos volátiles puede ser importante para entender el alcance. Las decisiones deben tener en cuenta la continuidad del servicio, la evidencia disponible y el riesgo de propagación.
La recuperación tampoco termina al ver el escritorio otra vez. Conviene confirmar qué sistemas y cuentas estuvieron implicados, eliminar la causa de acceso cuando se haya identificado y restaurar desde fuentes consideradas limpias según el procedimiento aprobado. Un malware es software; el incidente es el conjunto de acciones y consecuencias alrededor de su ejecución. Esa diferencia permite investigar con rigor y evitar tanto el alarmismo como la falsa tranquilidad.
Diccionario de la Crew
EDR — Herramientas de detección y respuesta en endpoints que recopilan señales de los equipos para identificar y tratar actividad sospechosa.
Ransomware — Malware utilizado para extorsionar, por ejemplo cifrando datos o amenazando con divulgar información.
Loader — Componente que prepara o descarga otras cargas de software.
