agp32.exe no corresponde a ningún componente legítimo conocido de Windows y aparece documentado como archivo asociado al gusano Gaobot en equipos infectados.
Si has encontrado agp32.exe ejecutándose en tu equipo, conviene que le prestes atención. A diferencia de la mayoría de procesos que puedes ver en el Administrador de tareas, este nombre no se corresponde con ningún componente conocido del sistema operativo Windows ni con ningún controlador o utilidad de fabricante ampliamente distribuido.
El nombre resulta engañoso por un motivo concreto: AGP son las siglas de Accelerated Graphics Port, el bus de expansión que durante años se utilizó para conectar tarjetas gráficas a la placa base. Esa coincidencia hace que muchos usuarios asuman que se trata de un componente de su controlador de vídeo, y ese es precisamente el efecto buscado. En realidad, los fabricantes de tarjetas gráficas no distribuyen ningún ejecutable con este nombre.
Las bases de datos públicas de programas de inicio documentan agp32.exe como un archivo añadido al sistema por el gusano Gaobot, también conocido como Agobot o Phatbot según el fabricante de antivirus que lo clasifique. Se trata de una familia de malware de tipo bot que tuvo una actividad muy intensa a partir de 2003 y de la que se derivaron centenares de variantes.
A lo largo de este artículo verás qué hace esta familia de malware, cómo comprobar de forma fiable qué es exactamente el archivo que tienes en tu equipo y qué medidas tomar según el resultado de esa comprobación.
Función principal de agp32.exe
No existe una función legítima documentada para agp32.exe. El nombre aparece registrado en catálogos de programas de inicio como uno de los ejecutables que la familia Gaobot deja en el sistema tras infectarlo, junto con otros muchos nombres igualmente diseñados para pasar desapercibidos entre los procesos habituales de Windows.
La familia Agobot/Gaobot es una puerta trasera controlada por IRC con capacidad de propagación por red. Una vez instalada en un equipo, su cometido es mantener el control remoto de la máquina y ponerla a disposición de quien la opera. Según la documentación de los fabricantes de seguridad, estas variantes se propagan aprovechando vulnerabilidades ya corregidas en boletines de seguridad de Microsoft (entre ellas las relacionadas con RPC/DCOM, RPC/Locator y WebDAV), y también intentan copiarse a recursos compartidos de red accesibles con contraseñas de administrador débiles, probando listas de credenciales triviales.
El equipo infectado queda incorporado a una red de máquinas controladas de forma centralizada. Desde ahí, quien la dirige puede ordenar ataques de denegación de servicio contra sitios web concretos, descargar e instalar archivos adicionales o extraer información del sistema. Algunas variantes documentadas incorporan además robo de credenciales de acceso e intentan finalizar los procesos de productos antivirus y de herramientas de monitorización del sistema, para dificultar tanto su detección como su eliminación.
Verificación rápida: ¿legítimo o malicioso?
Estas comprobaciones te permiten formarte una idea rápida antes de pasar a un análisis más detallado.
Ubicación
- ❌ No existe una ubicación legítima conocida para un archivo llamado agp32.exe.
- ❌ Ejecución desde carpetas temporales, de perfil de usuario o de descargas: patrón habitual del software malicioso.
- ❌ Presencia directa en la carpeta del sistema junto a componentes de Windows: técnica frecuente de camuflaje.
Firma digital
- ❌ Ausencia de firma digital.
- ❌ Firma presente pero con estado no válido, caducada o emitida a un responsable desconocido.
- ✅ Firma válida de un fabricante reconocido: sería el único escenario que obligaría a replantear el diagnóstico, y resulta muy poco probable con este nombre.
Consumo de recursos
- ❌ Consumo elevado y continuo sin que haya ninguna aplicación en primer plano que lo justifique.
- ❌ Actividad de red sostenida en momentos de inactividad del equipo.
- ❌ Ralentizaciones o cierres inesperados del sistema sin causa aparente.
Conexiones de red
- ❌ Conexiones salientes persistentes hacia servidores de chat o destinos no reconocibles.
- ❌ Intentos de conexión hacia numerosas direcciones distintas en poco tiempo, propios del escaneo en busca de equipos vulnerables.
- ❌ Tráfico hacia recursos compartidos de otros equipos de la red local.
Propiedades del archivo
- ❌ Ausencia de información de fabricante, descripción o versión de producto.
- ❌ Metadatos genéricos, contradictorios o que imitan los de un componente del sistema.
- ✅ Metadatos coherentes con el software de un fabricante identificable: hallazgo que exigiría verificación adicional antes de dar nada por sentado.
Variantes conocidas
La familia Agobot/Gaobot se caracteriza por una diversidad enorme de variantes. Los fabricantes de seguridad las han catalogado con nomenclaturas propias, de modo que un mismo archivo puede aparecer identificado como Backdoor.Agobot, W32.HLLW.Gaobot, Win32/Gaobot o Phatbot según el motor que lo detecte. La documentación pública recoge variantes desde 2003 y a lo largo de los años siguientes, cada una con pequeñas diferencias en los métodos de propagación y en las capacidades incorporadas.
Esa proliferación tiene una explicación técnica: el código de la familia está estructurado de forma modular, lo que facilitó que se generaran versiones modificadas incorporando exploits publicados. Además, distintas variantes utilizan nombres de archivo diferentes, por lo que agp32.exe es solo uno de los muchos nombres asociados a esta familia y no debe interpretarse como identificador único.
Software asociados
No hay ningún programa comercial ni componente del sistema que instale un ejecutable con este nombre. Conviene insistir en ello porque la similitud con las siglas del bus AGP invita a asociarlo con controladores de tarjeta gráfica: los paquetes de controladores de los fabricantes de gráficas instalan sus propios ejecutables, con nombres documentados en su propia información de producto y firmados por ellos.
Lo que sí está documentado es la aparición de agp32.exe junto a otros nombres de archivo dentro de listados de indicadores asociados a infecciones de esta familia. Encontrar varios de esos nombres a la vez en un mismo equipo refuerza la sospecha, aunque la presencia de uno solo ya justifica de sobra una comprobación en profundidad.
Seguridad y riesgos potenciales
El riesgo principal de un equipo comprometido por esta familia de malware no es el rendimiento, sino la pérdida de control sobre la máquina. Un bot con puerta trasera permite que un tercero ejecute órdenes en el sistema sin intervención del usuario, lo que incluye descargar e instalar componentes adicionales. Esto significa que una infección inicial rara vez se queda como estaba: puede evolucionar hacia el robo de credenciales, la instalación de otras familias de malware o el uso del equipo como plataforma para atacar a terceros.
Hay un segundo riesgo derivado del mecanismo de propagación. Estas variantes se apoyan en vulnerabilidades corregidas hace tiempo mediante actualizaciones de seguridad y en contraseñas de administrador débiles en recursos compartidos. Un equipo infectado en una red doméstica o de oficina puede, por tanto, intentar propagarse a los demás equipos conectados. La infección deja de ser un problema de una sola máquina.
Merece atención especial la capacidad, documentada en variantes de esta familia, de intentar cerrar procesos de productos de seguridad y de herramientas de monitorización. Cuando eso ocurre, el propio antivirus puede dejar de funcionar correctamente sin que el usuario lo advierta, y el sistema queda desprotegido frente a amenazas posteriores. Por eso, ante la sospecha de una infección de este tipo, no basta con confiar en que el antivirus instalado habría avisado.
Conviene tener presente, por último, que los sistemas afectados originalmente por esta familia son versiones de Windows ya sin soporte. Un equipo que todavía funcione con esas versiones acumula vulnerabilidades sin corregir y resulta especialmente expuesto, tanto a este malware como a cualquier amenaza posterior.
Cómo identificar si es legítimo
Aunque no exista una versión legítima conocida de este archivo, la comprobación sigue siendo el paso obligatorio: te confirma qué tienes exactamente en tu equipo y evita que actúes sobre un archivo equivocado.
Paso 1: localiza el archivo
Abre el Administrador de tareas con Ctrl + Shift + Esc, ve a la pestaña Detalles, busca el proceso en la lista, haz clic derecho sobre él y elige Abrir ubicación del archivo. Anota la ruta completa antes de seguir.
Paso 2: revisa la firma digital
Haz clic derecho sobre el archivo, entra en Propiedades y busca la pestaña Firmas digitales. Si esa pestaña no aparece, el archivo no está firmado. Si aparece, comprueba quién es el firmante y que el estado de la firma sea válido.
Paso 3: examina las propiedades del archivo
En la misma ventana de Propiedades, la pestaña Detalles muestra el fabricante, la descripción y la versión del producto. La ausencia de estos datos, o unos metadatos vagos que no se corresponden con ningún software instalado, es un indicador relevante.
Paso 4: analízalo en VirusTotal
Sube el archivo a VirusTotal, que lo somete a decenas de motores antivirus simultáneamente. Es la vía más rápida de obtener una segunda opinión independiente, especialmente útil si sospechas que tu antivirus habitual pudiera estar comprometido.
Paso 5: comprueba el proceso padre
Herramientas de análisis de procesos como Process Explorer muestran qué proceso lanzó al que estás investigando, además de su hash y su firma. Un ejecutable desconocido iniciado por un intérprete de comandos, por una tarea programada o desde una entrada de inicio en el registro dibuja un patrón que merece atención.
Paso 6: revisa el arranque del sistema
Comprueba si el archivo tiene entradas de inicio en el registro o tareas programadas asociadas. La persistencia en el arranque es una característica común del software malicioso y ayuda a valorar el alcance de lo que estás viendo.
Prevención
La medida más eficaz frente a esta familia de malware es también la más básica: mantener el sistema operativo actualizado. Las variantes documentadas se propagan explotando vulnerabilidades para las que Microsoft publicó correcciones hace años, de modo que un sistema al día cierra la puerta principal de entrada.
Refuerza las contraseñas de las cuentas de administrador y revisa los recursos compartidos de tu red. Las contraseñas triviales son uno de los vectores que estas variantes prueban de forma sistemática, y basta con una cuenta débil para que un equipo comprometido alcance a los demás.
Mantén activo un cortafuegos que te permita detectar conexiones salientes inesperadas, y desconfía de los ejecutables recibidos por correo, mensajería o redes de intercambio de archivos, una vía de distribución habitual para esta familia. Si identificas en tu equipo un archivo que no corresponde a ningún programa que hayas instalado deliberadamente, elimínalo con una herramienta de seguridad en lugar de borrarlo a mano: así te aseguras de retirar también las entradas de inicio y los componentes asociados.
Para mantener tu sistema protegido, realiza análisis periódicos con Malwarebytes, complementa con herramientas anti-spyware como Spybot – Search & Destroy, y ante archivos sospechosos utiliza un análisis online con varios antivirus.
Conclusión
agp32.exe no corresponde a ningún proceso legítimo conocido de Windows ni a ningún controlador de tarjeta gráfica, pese a lo que sugiere su nombre. Aparece documentado en catálogos públicos de programas de inicio como archivo asociado a la familia de gusanos Gaobot. Si lo encuentras en tu equipo, las comprobaciones de ubicación, firma y análisis multimotor te darán una respuesta fiable en pocos minutos.
Descargo de responsabilidad: La información proporcionada en este artículo tiene fines educativos y se basa en análisis de bases de datos de seguridad disponibles públicamente. Las recomendaciones de eliminación son orientativas; en casos de infección persistente, consulta a un profesional de seguridad informática.