El malware ha evolucionado mucho desde los primeros virus de los años 80 y 90. Hoy, las amenazas son más sofisticadas, más difíciles de detectar y, en muchos casos, más destructivas. Aunque los términos clásicos —virus, gusanos y troyanos— siguen vigentes como categorías conceptuales, el panorama actual incluye familias de malware mucho más complejas, que combinan características de varios tipos y emplean técnicas de evasión avanzadas.
Entender cómo funcionan estas amenazas y, sobre todo, cómo se propagan hoy, es el primer paso para proteger cualquier sistema, ya sea un ordenador personal, un dispositivo móvil o una infraestructura empresarial.
Tipos principales de malware
Virus
Un virus es un programa malicioso que se adjunta a archivos o programas legítimos y necesita que el usuario ejecute el archivo infectado para activarse. Una vez en marcha, se replica insertando su código en otros archivos del sistema.
En la práctica, los virus tradicionales han perdido protagonismo frente a otras amenazas. Su modelo de infección —dependiente de la acción del usuario— resulta menos eficiente que las técnicas de propagación automática de los gusanos o los enfoques sigilosos de los troyanos modernos. No obstante, siguen apareciendo en forma de macros maliciosas en documentos de Office o scripts embebidos en archivos aparentemente inofensivos.
Gusanos
A diferencia de los virus, los gusanos no necesitan adjuntarse a otros archivos. Son programas autónomos que se replican y se propagan por sí solos, aprovechando vulnerabilidades de red, correos electrónicos o recursos compartidos.
Los gusanos pueden consumir ancho de banda, saturar servidores de correo o, en el peor de los casos, instalar puertas traseras que permitan el acceso remoto al sistema. Un ejemplo paradigmático es WannaCry (2017), que combinó características de gusano —se propagó automáticamente por redes explotando una vulnerabilidad de Windows— con ransomware, cifrando los archivos de las víctimas.
Troyanos
Los troyanos (o caballos de Troya) son programas que se disfrazan de software legítimo para engañar al usuario y lograr que los instale voluntariamente. Una vez dentro, ejecutan acciones maliciosas sin el conocimiento de la víctima.
A diferencia de los virus y los gusanos, los troyanos modernos rara vez actúan solos. La mayoría son plataformas modulares que descargan componentes adicionales según las necesidades del atacante. Familias como Emotet, TrickBot o Qbot comenzaron como troyanos bancarios y evolucionaron hasta convertirse en infraestructuras de distribución de ransomware, capaces de:
- Robar credenciales y datos financieros.
- Registrar pulsaciones de teclado (keyloggers).
- Capturar pantallas y acceder a la webcam.
- Establecer canales de comunicación con servidores de control (C2, Command and Control).
- Descargar e instalar ransomware u otro malware.
Ransomware
El ransomware es, sin duda, la amenaza más mediática y destructiva de la última década. Su objetivo es cifrar los archivos de la víctima o bloquear el acceso al sistema, exigiendo un rescate económico —generalmente en criptomonedas— a cambio de la clave de descifrado.
Algunos ransomware alcanzaron dimensiones globales, como WannaCry, NotPetya o Locky. En los últimos años, buena parte de la actividad se organiza bajo el modelo RaaS (Ransomware as a Service), en el que los desarrolladores alquilan su malware a afiliados que ejecutan los ataques y comparten las ganancias. Este ecosistema es muy cambiante: los grupos aparecen, son desarticulados por operaciones policiales y se reconstruyen o rebautizan con frecuencia. LockBit, por ejemplo, sufrió una operación policial internacional (Operación Cronos) en 2024, pero reconstruyó su infraestructura y siguió activo; BlackCat/ALPHV, en cambio, desapareció tras un «exit scam» en 2024. Conviene, por tanto, tomar cualquier lista de grupos «activos» como una foto del momento, no como algo permanente.
El ransomware moderno no se limita a cifrar archivos. Muchas variantes incorporan la técnica de doble extorsión: antes de cifrar, exfiltran datos sensibles y amenazan con publicarlos si no se paga el rescate. Algunas han añadido incluso una triple extorsión, atacando directamente a clientes o socios de la víctima.
Spyware y stalkerware
El spyware es software diseñado para recopilar información del usuario sin su consentimiento: hábitos de navegación, contraseñas, conversaciones, ubicación geográfica, etc. Puedes profundizar en él en nuestra guía sobre qué son los spywares y cómo evitarlos.
Una subcategoría particularmente preocupante es el stalkerware, software espía instalado en dispositivos móviles por parejas, familiares o conocidos para monitorizar llamadas, mensajes, ubicación y actividad en redes sociales. Su uso ha crecido de forma alarmante y cada vez se regula más como una forma de violencia digital.
Adware y PUP
El adware (advertising software) muestra publicidad no solicitada, a menudo de forma intrusiva. Cuando se instala sin consentimiento explícito o incluye funciones de recopilación de datos, se clasifica como PUP (Potentially Unwanted Program, programa potencialmente no deseado). Tienes más detalles en nuestro artículo sobre qué es un adware.
Aunque no siempre son maliciosos en sentido estricto, pueden degradar el rendimiento del sistema, redirigir el tráfico de navegación y servir como puerta de entrada para malware más agresivo.
Rootkits y bootkits
Los rootkits son programas que ocultan su presencia y la de otros malware en el sistema, a menudo a nivel del núcleo del sistema operativo. Los bootkits van un paso más allá e infectan el sector de arranque del disco o el firmware UEFI, lo que les permite activarse antes de que el sistema operativo cargue y los antivirus puedan detectarlos.
Estas amenazas son especialmente peligrosas porque pueden sobrevivir a la reinstalación del sistema operativo si no se limpia adecuadamente el firmware.
Malware sin archivos (fileless)
El malware sin archivos (fileless malware) no escribe archivos en el disco, sino que reside únicamente en la memoria RAM y aprovecha herramientas legítimas del sistema —como PowerShell, WMI o macros— para ejecutarse. Al no dejar rastro en el disco duro, elude la detección de muchos antivirus tradicionales basados en firmas.
Cryptojacking
El cryptojacking consiste en usar los recursos de computación de la víctima —CPU y GPU— para minar criptomonedas sin su conocimiento. Aunque ha perdido algo de impulso tras el declive de ciertas criptomonedas y la transición de Ethereum a Proof of Stake, sigue siendo una amenaza activa, especialmente en servidores comprometidos y dispositivos IoT.
Cómo se infectan los equipos hoy
Las técnicas de propagación han evolucionado drásticamente. Los atacantes combinan vulnerabilidades técnicas con manipulación psicológica (ingeniería social) para maximizar su efectividad.
Phishing, smishing y vishing
El phishing —correos electrónicos fraudulentos que suplantan a entidades de confianza— sigue siendo el vector más común. Ha evolucionado hacia formas más sofisticadas:
- Spear-phishing: ataques dirigidos a individuos concretos, con información personalizada obtenida de redes sociales o filtraciones de datos.
- Smishing: phishing por SMS.
- Vishing: phishing por llamada telefónica, a veces con deepfakes de voz generados por inteligencia artificial.
La IA ha transformado esta amenaza: los correos de phishing actuales pueden estar redactados en un español perfecto, sin faltas de ortografía, y personalizados a partir de datos reales de la víctima.
Vulnerabilidades y exploits
Los atacantes buscan constantemente vulnerabilidades de día cero (desconocidas por el fabricante) o vulnerabilidades sin parchear en sistemas desactualizados. Existen frameworks que permiten automatizar la explotación de fallos conocidos. El RDP (Remote Desktop Protocol) mal configurado o expuesto a internet sigue siendo una de las puertas de entrada favoritas para el ransomware.
Ataques a la cadena de suministro
En un ataque a la cadena de suministro (supply chain attack), los atacantes comprometen un software legítimo o un proveedor de confianza para distribuir malware a través de actualizaciones «oficiales». Ejemplos notorios:
- SolarWinds (2020): puerta trasera insertada en una actualización de software de gestión de redes, que afectó a miles de organizaciones, incluidas agencias gubernamentales de EE. UU.
- 3CX (2023): compromiso de una aplicación de comunicaciones empresariales.
- XZ Utils (2024): puerta trasera insertada en una librería de compresión de código abierto ampliamente utilizada en Linux.
Software y actualizaciones falsas
Ventanas emergentes que simulan ser actualizaciones de Adobe Flash, Chrome o Windows, pero que descargan malware. Aunque Flash está muerto, los atacantes han migrado a otros pretextos: actualizaciones de navegadores, códecs de vídeo o aplicaciones empresariales.
Dispositivos USB y hardware comprometido
Sigue siendo un vector válido, especialmente en entornos industriales o aislados. Dispositivos como USB Rubber Ducky o BadUSB pueden emular teclados y ejecutar comandos maliciosos en segundos.
Aplicaciones móviles y sideloading
En Android, aplicaciones maliciosas que superan los controles de Google Play o se instalan desde fuentes alternativas (sideloading). En iOS es menos frecuente, gracias a las restricciones de Apple, pero posible a través de perfiles de configuración empresarial maliciosos.
Señales de que un equipo puede estar infectado
- Lentitud extrema o bloqueos frecuentes.
- Programas que se ejecutan solos o ventanas emergentes constantes.
- Cambios no autorizados en el navegador (página de inicio, motor de búsqueda, extensiones desconocidas).
- Uso elevado de CPU, GPU o red sin explicación aparente.
- Archivos cifrados con extensiones extrañas y mensajes de rescate (ransomware).
- Correos enviados desde tu cuenta sin tu conocimiento.
- Actividad de red sospechosa hacia servidores desconocidos.
- El antivirus o el firewall se desactivan solos.
Nota: estos síntomas no siempre indican malware. Pueden deberse a software legítimo con fallos, hardware defectuoso o configuraciones incorrectas. La investigación es clave.
Cómo protegerse: medidas esenciales
Mantén todo actualizado
El parcheo oportuno de vulnerabilidades es la defensa más efectiva. Esto incluye el sistema operativo, el navegador, las aplicaciones de terceros (especialmente Adobe, Office y navegadores) y el firmware UEFI/BIOS.
Usa protección en capas
Un antivirus tradicional ya no es suficiente. Se recomienda:
- Microsoft Defender (incluido en Windows 10 y 11, mejorado de forma notable en los últimos años).
- EDR (Endpoint Detection and Response) en entornos empresariales: detecta comportamientos anómalos, no solo firmas conocidas.
- Firewall activo y correctamente configurado.
- Protección contra PUP activada en tu solución de seguridad.
Autenticación multifactor (MFA)
La MFA es la barrera más efectiva contra el acceso no autorizado, incluso si las credenciales se filtran. Actívala en todas las cuentas posibles: correo, banca, redes sociales y servicios en la nube.
Copias de seguridad
La única defensa realmente fiable contra el ransomware es disponer de copias de seguridad actualizadas, verificadas y almacenadas offline o en ubicaciones aisladas. Un backup en la misma red que el equipo original puede acabar cifrado junto con él.
Navegación consciente
- No abras archivos adjuntos ni hagas clic en enlaces de correos sospechosos, aunque parezcan provenir de contactos conocidos (verifica la dirección del remitente).
- Descarga software solo de fuentes oficiales.
- Desconfía de las ventanas emergentes que urgen a actualizar software.
- Revisa los permisos de las aplicaciones móviles antes de instalarlas.
Segmentación de red
En entornos empresariales, segmentar la red limita la propagación lateral del malware. Si un equipo se infecta, no debería poder acceder con facilidad al resto de la infraestructura.
Formación y concienciación
El eslabón más débil sigue siendo el humano. La formación regular en ciberseguridad para empleados y usuarios reduce drásticamente el éxito de los ataques de ingeniería social.
Herramientas y estrategias de defensa
| Tipo | Ejemplos / Descripción |
|---|---|
| Antivirus / Antimalware | Microsoft Defender (Windows), Malwarebytes, Bitdefender, Kaspersky, ESET |
| EDR empresarial | Microsoft Defender for Endpoint, CrowdStrike Falcon, SentinelOne, Palo Alto Cortex |
| Firewall | Firewall de Windows, pfSense, soluciones de próxima generación (NGFW) |
| Gestión de parches | WSUS, Microsoft Intune |
| Copias de seguridad | Veeam, Acronis, soluciones cloud con inmutabilidad (WORM) |
| Análisis de vulnerabilidades | Nessus, OpenVAS, Microsoft Defender Vulnerability Management |
| Sandboxing | Ejecutar archivos sospechosos en entornos aislados antes de abrirlos |
| MFA | Microsoft Authenticator, Google Authenticator, llaves físicas (YubiKey) |
Conclusión
El malware de 2026 poco tiene que ver con los virus de hace treinta años. Las amenazas actuales son modulares, persistentes, sigilosas y, en muchos casos, operadas por organizaciones estructuradas con recursos económicos y técnicos considerables. La distinción entre virus, gusanos y troyanos sigue siendo útil para comprender los fundamentos, pero el panorama real exige un enfoque de defensa en capas que combine tecnología, procesos y, sobre todo, concienciación.
No existe una solución única que garantice la seguridad. La protección efectiva requiere actualizaciones constantes, copias de seguridad verificadas, autenticación robusta y, sobre todo, una actitud escéptica ante lo inesperado. En ciberseguridad, la prevención siempre será más barata que la recuperación.