Puede que tengas la sensación de que tu ordenador va raro: tarda más en arrancar, el ventilador suena sin parar aunque no estés haciendo nada o aparecen mensajes que no encajan. Muchas veces lo achacamos a que el equipo es viejo o a que hay demasiados programas instalados, pero en no pocas ocasiones esa “rareza” es el rastro de una infección y de persistencia maliciosa que se ha quedado pegada al sistema.
Tras una infección, el gran problema no es solo el virus inicial, sino todo lo que puede quedar funcionando por debajo: servicios ocultos, tareas programadas, puertas traseras… En este artículo vamos a ver de forma detallada cómo detectar esa persistencia maliciosa después de una infección, qué síntomas deberían ponernos en alerta, cómo investigarlos en Windows y macOS, qué herramientas usar para limpiar el sistema y qué medidas tomar para minimizar el riesgo de reinfección.
¿Qué es la persistencia maliciosa y por qué es tan peligrosa?
Cuando hablamos de persistencia maliciosa nos referimos a todos aquellos mecanismos que usa el malware para seguir activo tras reinicios y para sobrevivir a intentos de limpieza básicos. No es solo un archivo infectado, sino un conjunto de cambios en el sistema: claves de registro, servicios, controladores, tareas programadas, modificaciones del navegador, etc.
El software malicioso moderno suele venir en “paquetes” que combinan virus, troyanos, gusanos y rootkits, e incluso variantes malware fileless. Muchos de estos componentes se instalan a nivel de kernel o como controladores de dispositivo, de forma que se integran profundamente en el sistema operativo y se camuflan en los registros y en áreas poco visibles para el usuario medio.
Además, existen familias enteras de malware orientadas a engañar al usuario con falsos problemas o falsas soluciones, como el scareware, el ransomware o el llamado hostage-ware, que simulan daños de hardware o infecciones gravísimas para que pagues por un supuesto programa de limpieza. Otras variantes se dedican a redirigir el navegador a webs concretas para generar ingresos por visitas, o a convertir tu equipo en parte de un botnet de spam.
Síntomas claros de que puede existir persistencia maliciosa
Aunque ningún síntoma por sí solo es una prueba absoluta, cuando empiezan a acumularse varios indicios conviene sospechar de una posible infección activa y persistente en el sistema. Estos son los signos más habituales que recogen distintas guías técnicas y experiencias de fabricantes de seguridad:
1. Bloqueos, errores extraños y fallos de sistema
Las famosas pantallas azules de Windows, cuelgues al azar, bloqueos al abrir programas o mensajes de error repetitivos que antes no aparecían son una señal de que algo en el sistema ha cambiado. No siempre es malware, pero si coincide con otros síntomas hay que investigarlo.
También es sospechoso que aparezcan ventanas durante el arranque avisando de que no se puede acceder a ciertos discos o archivos, o diálogos que indican que no se pueden abrir programas concretos sin que hayas modificado nada. Ese tipo de problemas pueden venir de controladores y procesos maliciosos cargados muy temprano en el inicio.
2. Sistema extremadamente lento sin motivo aparente
Uno de los signos más frecuentes es que el equipo se vuelva mucho más lento a la hora de arrancar, abrir aplicaciones o moverse por el sistema, incluso cuando no estás ejecutando nada pesado (juegos, edición de vídeo, etc.).
Si notas que el ventilador se dispara, el uso de CPU o memoria está disparado en el Administrador de tareas o el Monitor de Actividad, y sin embargo solo tienes abiertas unas pocas aplicaciones normales, es muy posible que un proceso malicioso esté consumiendo recursos en segundo plano para enviar spam, minar criptomonedas, participar en ataques DDoS o espiar tu actividad.
3. Actividad anómala del disco duro
Cuando el ordenador está en reposo pero ves el piloto del disco duro o del SSD parpadeando sin parar, o escuchas el disco mecánico leyendo y escribiendo constantemente, puede que algún componente malicioso esté manipulando ficheros, generando logs o cifrando información sin que tú lo veas.
La alta actividad del disco sin explicación lógica, especialmente justo después del arranque o cuando no hay actualizaciones en curso, se considera un indicador clásico de posible infección activa.
4. Ventanas, barras de herramientas y elementos visuales que no has instalado
Otro síntoma muy típico de persistencia es que aparezcan barras de herramientas adicionales en el navegador, extensiones desconocidas o incluso una página de inicio y motor de búsqueda diferentes, sin que tú los hayas cambiado.
Igualmente, si comienzan a salir ventanas emergentes (pop-ups) incluso cuando el navegador está cerrado, o publicidad muy agresiva y fuera de contexto, lo más probable es que haya adware o malware instalado que se mantenga activo cada vez que enciendes el equipo.
5. Mensajes “raros”, notificaciones y cambios en programas legítimos
El malware puede provocar que aparezcan diálogos alertando de que no se pueden abrir archivos o programas concretos, o mensajes avisando de supuestas infecciones procedentes de aplicaciones que tú nunca has instalado.
También es un mal síntoma que los programas se abran solos, se cierren sin motivo o pidan acceso a Internet sin que tú lo hayas solicitado. Cuando aplicaciones de confianza cambian de comportamiento de la noche a la mañana, suele haber algo metiendo mano por detrás.
6. Actividad de red sospechosa y problemas con tu IP
Si tu router está con las luces de tráfico parpadeando continuamente cuando no estás navegando ni descargando nada, es bastante probable que algún proceso escondido esté comunicándose con servidores externos, enviando spam, participando en botnets o filtrando datos.
En escenarios más graves, puedes llegar a recibir avisos de que tu dirección IP ha sido incluida en listas negras (blacklists o listas de rechazados) por envío masivo de correo no deseado o por actividad maliciosa. Eso suele indicar que tu equipo o tu red se están utilizando para ejecutar campañas de spam o ataques automatizados.
7. Correos electrónicos y cuentas online comprometidas
Cuando tus contactos empiezan a decirte que les llegan correos extraños enviados supuestamente por ti, con enlaces raros o archivos adjuntos que tú nunca has mandado, hay dos posibilidades: que tu equipo esté infectado y enviando correo sin tu consentimiento, o que alguien haya robado tus credenciales y esté usando tu cuenta desde fuera, y en esos casos conviene revisar guías sobre cómo detectar correos electrónicos con malware o phishing.
También es bastante grave que tus correos se queden atascados en la bandeja de salida, aparezcan mensajes que no reconoces como propios en la carpeta de enviados, o veas accesos sospechosos a tu webmail, redes sociales o banca online. Todo ello encaja con un escenario de infección y persistencia que busca robar información o credenciales.
8. Cambios extraños en la configuración del sistema y archivos perdidos
Algunos tipos de malware se dedican a modificar ajustes críticos del sistema, ocultar archivos o vaciar menús como el de Programas del menú Inicio en Windows, de forma que parezca que todo está corrupto o perdido.
Si de repente faltan documentos, carpetas o aplicaciones del directorio principal del disco, o notas que no puedes cambiar el fondo de pantalla ni otros elementos del escritorio, puede que estés ante variantes que juegan con el miedo del usuario para que pague por una supuesta “reparación” o para forzar el uso de un programa fraudulento.
9. Desactivación del antivirus y del firewall
Es bastante habitual que, nada más instalarse, el malware trate de desactivar el antivirus, bloquear sus actualizaciones o impedir que se abra la interfaz. Si tu solución de seguridad aparece apagada sin que tú lo hayas hecho, o desaparece el icono de la bandeja del sistema, hay que sospechar muy seriamente.
Ocurre algo parecido con el cortafuegos: muchos códigos maliciosos intentan deshabilitar el firewall del sistema operativo o el de terceros para poder comunicarse libremente hacia fuera y descargar más componentes. Ver el firewall apagado de forma inexplicable es un indicador de riesgo elevado.
10. Otros signos de comportamiento raro del sistema
Las actuales amenazas son muy variadas, así que conviene estar atentos a otros indicios como redireccionamientos constantes del navegador a páginas que no has pedido, mensajes emergentes que imitan al sistema operativo para que instales “utilidades” sospechosas, iconos nuevos en el escritorio que no recuerdas haber descargado, o imposibilidad de abrir archivos ejecutables (.exe, .msi, .com) de forma repentina.
En algunos casos más avanzados, se instalan controladores de modo kernel que se ven en el Administrador de dispositivos de Windows como dispositivos plug and play ocultos. Su función suele ser interferir con el antivirus, filtrar tráfico o esconder otros procesos maliciosos, por ejemplo mediante DLLs sospechosas.
¿Cómo detectar procesos maliciosos y persistentes en Windows?
En Windows dispones de varias utilidades integradas y herramientas avanzadas para localizar procesos maliciosos que mantengan la persistencia tras una infección. El primer punto de control accesible a cualquier usuario es el propio Administrador de tareas.
Uso del Administrador de tareas
Para abrirlo, puedes hacer clic derecho en el botón de Inicio y elegir “Administrador de tareas”, o bien usar la combinación de teclas Ctrl + Alt + Supr y seleccionar la misma opción. Una vez dentro, en la pestaña “Procesos” verás todas las aplicaciones y procesos en ejecución y el porcentaje de CPU, memoria, disco y red que consumen.
En esta vista conviene preguntarse si hay algún nombre de proceso o aplicación que no te suene en absoluto, o si detectas uno que está consumiendo muchos más recursos que el resto de forma continua. Ese tipo de comportamiento suele delatar tanto malware como software no deseado muy agresivo.
Si dudas sobre un proceso, puedes hacer clic derecho y abrir las “Propiedades” para ver su ruta de instalación, firma digital, fecha de creación y otros datos. Los procesos legítimos del sistema suelen estar en rutas estándar (por ejemplo, C:\Windows\System32) y firmados por Microsoft u otros fabricantes conocidos, mientras que los maliciosos tienden a esconderse en carpetas temporales o rutas poco comunes.
En caso de sospecha, puedes buscar el nombre del proceso en bases de datos públicas como File.net u otros repositorios especializados, que catalogan procesos habituales de Windows y de programas de terceros y te indican si son legítimos o potencialmente peligrosos.
Si identificas un proceso que claramente se comporta de forma maliciosa, puedes seleccionarlo y elegir “Finalizar tarea”. Esto puede darte un respiro (por ejemplo, que el equipo vuelva a ir más fluido), pero es imprescindible realizar a continuación un análisis completo con una herramienta antimalware para borrar cualquier rastro, porque la persistencia suele estar ligada a claves de registro, servicios y tareas programadas.
Modo seguro y herramientas avanzadas
Cuando la infección es más agresiva, puede que ni siquiera puedas abrir el antivirus, ejecutar archivos .exe o conectarte a Internet con normalidad. En estos casos, conviene reiniciar el equipo en Modo seguro con funciones de red, que carga solo los servicios mínimos del sistema y muchas veces impide que el malware se active.
Desde ahí, puedes utilizar herramientas técnicas como Process Explorer o Autoruns (de Microsoft Sysinternals) para ver todos los procesos en ejecución y todos los puntos de arranque automático del sistema (inicio, servicios, tareas programadas, extensiones de shell, etc.). La mayoría de infecciones persistentes suelen dejarse ver en estas utilidades si las ejecutas con permisos de administrador.
Si el malware ha bloqueado la extensión .exe desde el registro para impedir que se abran programas de limpieza, hay un truco útil: renombrar el ejecutable a .com y tratar de abrirlo de nuevo. Si sigue sin funcionar, la opción más práctica suele ser arrancar en modo seguro, intentar de nuevo los análisis o valorar una reinstalación limpia del sistema operativo.
Cómo identificar procesos sospechosos y persistencia en macOS
En Mac también es posible que se instalen procesos en segundo plano, agentes de lanzamiento y elementos de inicio de sesión que mantengan el malware activo cada vez que enciendes el equipo. La primera pista visual está en la barra de menús superior derecha, donde aparecen iconos de las aplicaciones en ejecución, pero muchas piezas maliciosas no muestran icono alguno.
La herramienta básica para investigar es el Monitor de Actividad, que puedes abrir desde Spotlight o desde la carpeta de Utilidades. Una vez dentro, verás una lista de todos los procesos activos con su consumo de CPU, memoria, energía, disco y red.
Si observas un proceso desconocido con un uso de recursos llamativamente alto, puedes seleccionarlo y pulsar el icono de la “i” de información para ver la ruta de la aplicación asociada, el usuario que lo ejecuta y otros detalles. Igual que en Windows, muchos procesos del sistema se ubican en rutas estándar (/System, /usr, etc.), mientras que el malware suele esconderse en carpetas de usuario, temporales o subdirectorios poco habituales.
Si te encuentras con un proceso que consideras sospechoso, puedes tratar de finalizarlo desde el icono con la “x” en la parte superior. Si el equipo mejora de rendimiento tras matarlo, es muy probable que estuviera consumiendo recursos de forma indebida. No obstante, para asegurarte de que no se vuelva a lanzar al reiniciar, deberás pasar un buen análisis con una solución de seguridad compatible con macOS y revisar elementos de inicio (LaunchAgents, LaunchDaemons, ítems de inicio de sesión).
Cuando no ves nada claramente malicioso pero el ordenador sigue funcionando mal, el propio Monitor de Actividad permite ejecutar diagnósticos del sistema mediante el icono de engranaje. Estos tests pueden ayudar a identificar procesos o servicios que estén ocasionando problemas de rendimiento o comportamientos extraños.
Analizar el sistema con software antimalware especializado
Una vez recogidas las pistas (síntomas, procesos sospechosos, cambios raros, etc.), el siguiente paso es ejecutar uno o varios análisis antimalware en profundidad. Aquí conviene tener claras dos ideas:
Por un lado, existen programas antivirus en tiempo real, que están siempre vigilando el sistema, y escáneres bajo demanda, que solo trabajan cuando tú los abres y lanzas el análisis. Lo ideal es tener instalado solo un motor en tiempo real para evitar conflictos, y complementar de vez en cuando con escaneos bajo demanda de otros fabricantes.
Por otro lado, ningún antivirus detecta el 100 % de las variantes existentes. El volumen de malware y mutaciones diarias hace imposible la cobertura absoluta, por lo que a menudo es interesante combinar herramientas si sospechas que hay persistencia en tu equipo.
Pasos recomendados antes y durante el análisis
Para mejorar la eficacia del proceso de limpieza, lo recomendable es:
- Desconectar el ordenador de Internet antes de empezar, para cortar la comunicación del malware con el exterior y evitar que descargue nuevos componentes.
- Reiniciar en modo seguro cuando sea posible, de forma que se carguen solo los servicios indispensables y sea más fácil que la herramienta de análisis pueda eliminar archivos bloqueados.
- Vaciar archivos temporales (con la herramienta de limpieza de disco en Windows o utilidades equivalentes) para reducir la cantidad de elementos a revisar y eliminar restos descargados que el malware pueda estar usando.
Tras estos preparativos, puedes instalar y ejecutar una solución contrastada como, por ejemplo, Malwarebytes u otras herramientas reconocidas del sector. Lo habitual es comenzar con un análisis rápido, que revisa las zonas más críticas y puede tardar de 5 a 20 minutos, y después, si sigue habiendo dudas, realizar un análisis completo, que puede extenderse bastante más tiempo.
Durante el escaneo, la herramienta irá mostrando el número de objetos analizados y cuántos se consideran sospechosos o directamente maliciosos. Al finalizar, suele generarse un informe de resultados donde puedes ver qué ficheros, claves de registro y elementos de arranque se han detectado.
La mayoría de estos programas marcan automáticamente lo que consideran peligroso para que puedas eliminar o poner en cuarentena los elementos seleccionados de una sola vez. Es importante revisar que todo lo que vas a borrar sea realmente malicioso o innecesario, aunque la gran parte de usuarios puede seguir la selección propuesta por la propia herramienta.
En algunos casos muy graves, el malware es capaz de cerrar o bloquear el propio programa antimalware mientras está escaneando, lo que indica que está profundamente integrado en el sistema. Ante ese panorama, la opción más segura y rápida suele ser respaldar tus datos personales y realizar una instalación limpia del sistema operativo, ya que insistir en la eliminación manual puede llevar mucho más tiempo y no garantizar un resultado perfecto.
Opciones de limpieza y cuándo plantearse reinstalar
Una vez detectada la infección y ejecutados análisis con diferentes herramientas, debes valorar hasta qué punto confías en que el sistema haya quedado realmente limpio. Hay varios caminos posibles:
- Si la infección era relativamente simple (adware, barras de herramientas, redireccionamientos de navegador) y los análisis indican que se han eliminado todos los componentes maliciosos, probablemente puedas seguir usando el equipo tras cambiar contraseñas y verificar que todo funciona bien.
- Si se han detectado rootkits, controladores a nivel de kernel o infecciones muy agresivas que bloqueaban antivirus, modificaban el arranque o generaban múltiples puntos de persistencia, la recomendación profesional suele ser llevar a cabo una reinstalación completa del sistema operativo.
- Si no te sientes cómodo manejando estas herramientas o no estás seguro de qué eliminar, tienes la opción de contratar servicios técnicos especializados que hagan la limpieza por ti, aunque normalmente será un servicio de pago.
En cualquier caso, incluso aunque optes por reinstalar, es crucial pasar análisis de virus a tus copias de seguridad, unidades USB, discos externos y otros medios que vayas a volver a conectar. No tendría sentido partir de un sistema limpio si luego restauras archivos que contienen la misma infección.
¿Cómo reducir al mínimo la posibilidad de reinfección?
Detectar y eliminar una persistencia maliciosa es solo la mitad del camino. La otra mitad consiste en implantar hábitos y medidas de seguridad para que no vuelva a ocurrir lo mismo a los pocos días. Entre las prácticas más importantes destacan:
- Mantener el sistema operativo y todos los programas actualizados con los últimos parches de seguridad, especialmente navegadores, suites ofimáticas, Java, frameworks y aplicaciones que se conectan a Internet.
- Usar un antivirus en tiempo real o, mejor aún, soluciones más modernas tipo EDR (Endpoint Detection and Response) que añaden capacidades avanzadas de detección de comportamiento y respuesta ante incidentes.
- Activar y configurar correctamente el cortafuegos, de forma que filtre el tráfico entrante y saliente según reglas sensatas, evitando conexiones innecesarias desde aplicaciones que no deberían acceder a la red.
- Valorar la implantación de sistemas de detección y prevención de intrusiones (IDPS), especialmente en entornos corporativos, para identificar patrones de ataque en tiempo real y bloquearlos.
- Centralizar logs y eventos de seguridad mediante soluciones SIEM (Security Information and Event Management), que te ayuden a correlacionar actividad sospechosa en múltiples equipos y servicios.
- Proteger la información sensible mediante cifrado de datos en reposo y en tránsito, de forma que, incluso si hay una brecha, resulte mucho más difícil explotar la información robada.
- Cuando trabajes desde fuera, utilizar una VPN segura para cifrar el tráfico entre tu dispositivo y la red interna, evitando que se intercepten credenciales o datos críticos en redes Wi‑Fi poco fiables.
- Realizar periódicamente pruebas de penetración y auditorías de seguridad para descubrir vulnerabilidades antes que los atacantes, ajustando la configuración y las políticas según los hallazgos.
Ultimas consideraciones
En el día a día conviene también extremar las precauciones con correos electrónicos sospechosos, enlaces acortados, archivos adjuntos ejecutables (.exe, .pif, .com, .src…) y software descargado de fuentes no confiables. Ante la duda, es preferible borrar un correo o no instalar un programa que arriesgarse a una nueva infección.
Por último, después de cualquier incidente, es muy recomendable revisar la actividad de todas tus cuentas online (banca, correo, redes sociales, servicios en la nube) para comprobar que no haya movimientos raros, sesiones abiertas desde ubicaciones sospechosas o cambios en la configuración, y cambiar todas las contraseñas utilizando gestores y autenticación multifactor cuando sea posible.
Si tomas como costumbre vigilar los síntomas descritos, usar las herramientas del sistema para localizar procesos raros, apoyarte en soluciones antimalware fiables y reforzar tus hábitos de seguridad, tendrás muchas más papeletas de detectar a tiempo cualquier persistencia maliciosa tras una infección y cortar su actividad antes de que comprometa de verdad tus datos y tus dispositivos. Comparte la información para que más personas conozcan del tema.