Malware: virus, gusanos, troyanos y ransomware

Malware (software malicioso) es cualquier software diseñado intencionadamente para causar daños, obtener acceso no autorizado o interrumpir sistemas. Es la herramienta principal de los ciberdelincuentes y de los actores estatales.

Un virus es un malware que se adjunta a programas o archivos legítimos. Requiere la acción humana para propagarse (abrir un archivo infectado). Cuando se ejecuta, se replica y puede dañar archivos, robar datos o abrir puertas traseras.

Un gusano es un malware autorreplicante que se propaga por las redes sin interacción humana. Explota vulnerabilidades de los servicios de red. Ejemplos famosos: WannaCry (SMB), Conficker, Morris Worm.

Un troyano se disfraza de software legítimo. A diferencia de los virus, no se replica por sí mismo, sino que depende de que el usuario lo instale. Una vez instalado, puede crear puertas traseras, robar datos o descargar malware adicional (droppers).

El ransomware cifra los archivos de las víctimas y exige un pago a cambio de la clave de descifrado. Los operadores modernos de ransomware también exfiltran datos antes de cifrarlos (doble extorsión) y amenazan con publicarlos si no se paga el rescate.

Ejemplos: LockBit, REvil, Conti, WannaCry.

El spyware supervisa en secreto la actividad del usuario —pulsaciones de teclas, capturas de pantalla e historial de navegación— y la transmite al atacante. El adware muestra anuncios no deseados, a menudo incluido con software gratuito. Ambos pueden combinarse con otros tipos de malware.

Un rootkit oculta su presencia y la de otros tipos de malware modificando el kernel del sistema operativo o el gestor de arranque. Los rootkits son extremadamente difíciles de detectar porque subvierten las propias herramientas utilizadas para encontrarlos. A menudo, la detección requiere un análisis sin conexión.

Una botnet es una red de máquinas infectadas (bots) controladas de forma remota por un atacante (botmaster). Los bots se utilizan para ataques DDoS, campañas de spam, ataques de credential stuffing y minería de criptomonedas. A menudo, las víctimas no saben que su dispositivo está comprometido.

El malware sin archivos reside completamente en la memoria (RAM) sin escribir archivos en el disco, lo que le permite evadir los antivirus tradicionales basados en archivos. A menudo utiliza herramientas legítimas del sistema como PowerShell o WMI. La detección requiere análisis de memoria y supervisión del comportamiento.

Vectores de infección comunes:

• Archivos adjuntos de correos de phishing
• Descargas maliciosas desde la web
• Descarga drive-by a través de sitios web comprometidos
• Dispositivos USB dejados en aparcamientos
• Explotación de vulnerabilidades de software sin parchear

Capas de defensa:

• EDR — detección y respuesta basadas en el comportamiento
• Filtrado de correo electrónico — analiza los adjuntos en un sandbox antes de entregarlos
• Gestión de parches — cierra oportunidades de explotación
• Mínimo privilegio — limita el alcance de los daños del malware
• Copias de seguridad — copias sin conexión para recuperar los datos tras un ataque de ransomware

Las categorías de malware incluyen virus (requieren la acción del usuario), gusanos (se propagan por sí mismos), troyanos (software disfrazado), ransomware (cifra archivos para exigir un rescate), rootkits (se ocultan en el sistema operativo) y malware sin archivos (residente en la memoria). La defensa requiere controles en varias capas: EDR, filtrado de correo electrónico, aplicación de parches, mínimo privilegio y copias de seguridad.