Tema 6
El malware es una de las herramientas ofensivas más conocidas y persistentes del entorno digital. Esta unidad explica sus principales categorías, cómo operan, qué buscan y por qué siguen siendo relevantes en ataques modernos.
El término malware proviene de “malicious software” y se utiliza para describir programas o componentes diseñados para realizar acciones dañinas, abusivas o no autorizadas en sistemas, redes o dispositivos. Aunque suele asociarse a archivos ejecutables visibles, el concepto es más amplio: incluye scripts, cargas maliciosas, módulos ocultos y herramientas que alteran el comportamiento legítimo del entorno.
El malware no es un fin en sí mismo. Es un medio para lograr objetivos como robar información, espiar, abrir puertas traseras, obtener persistencia, sabotear procesos, cifrar sistemas o integrar equipos a infraestructuras criminales.
Para que una pieza de software se considere malware no hace falta que destruya datos. Basta con que ejecute acciones contrarias a la voluntad del propietario o administrador del sistema, afecte la seguridad o sirva a un propósito ofensivo.
El malware puede ingresar por múltiples vías. Comprender esos vectores es tan importante como entender su clasificación.
Un virus es un tipo de malware que se inserta en archivos o programas legítimos y necesita algún tipo de ejecución o interacción para activarse. Históricamente fue una de las categorías más conocidas porque infectaba archivos y se propagaba al copiar o ejecutar software.
Su rasgo clásico es que depende de un “huésped”, es decir, de otro archivo o programa al que se adhiere.
Hoy el término se usa a veces de forma genérica, aunque técnicamente no todo malware es un virus.
Un gusano o worm es malware con capacidad de propagarse de manera autónoma, generalmente a través de redes, sin necesidad de adherirse a otro archivo. Su importancia histórica es enorme porque algunos gusanos lograron expandirse con velocidad masiva aprovechando vulnerabilidades ampliamente presentes.
Los gusanos demuestran cómo una vulnerabilidad explotable a gran escala puede transformarse en un incidente generalizado en muy poco tiempo.
| Característica | Virus | Gusano |
|---|---|---|
| Necesita archivo huésped | Sí | No |
| Propagación autónoma | Limitada o indirecta | Sí, típicamente por red |
| Interacción del usuario | Frecuente | No siempre necesaria |
| Impacto común | Infección de archivos o programas | Expansión rápida y compromiso masivo |
Un troyano o trojan es malware que se presenta como algo legítimo o útil para inducir a la víctima a ejecutarlo o permitir su instalación. A diferencia del virus o del gusano, el rasgo distintivo del troyano no es la forma de replicarse, sino el engaño.
Muchos ataques modernos usan troyanos como primer paso para establecer acceso o preparar etapas posteriores.
El spyware está orientado al espionaje. Su finalidad es recopilar información de la víctima sin que esta lo advierta. Esa información puede incluir hábitos de uso, pulsaciones de teclado, credenciales, capturas de pantalla, archivos, historial de navegación o datos sensibles.
Su valor para el atacante está en la vigilancia silenciosa. A menudo prioriza la discreción por sobre el daño visible.
Los keyloggers son una forma especializada de spyware enfocada en registrar las teclas pulsadas por la víctima. Aunque parecen sencillos, pueden ser extremadamente peligrosos porque permiten capturar contraseñas, conversaciones, datos bancarios y otra información sensible ingresada manualmente.
Existen variantes puramente software y también dispositivos físicos diseñados con el mismo objetivo.
Un rootkit es un conjunto de técnicas o componentes diseñados para ocultar la presencia de malware o de un atacante dentro de un sistema. Su función principal no suele ser el daño directo, sino la invisibilidad y la persistencia.
La peligrosidad de un rootkit reside en que permite que otras acciones maliciosas permanezcan activas sin ser advertidas fácilmente.
Una botnet es una red de dispositivos comprometidos y controlados de forma remota por un actor malicioso. Cada dispositivo infectado, llamado a menudo bot o zombie, puede recibir instrucciones para actuar coordinadamente con los demás.
Las botnets pueden estar formadas por computadoras personales, servidores, dispositivos IoT, routers u otros equipos conectados.
La botnet no es exactamente un tipo de malware único, sino una estructura ofensiva basada en sistemas comprometidos. Para integrarse a una botnet, el dispositivo suele infectarse con alguna pieza de malware que le permite recibir órdenes desde una infraestructura de comando y control.
Aunque este tema se enfoca en familias clásicas, conviene reconocer otras categorías cercanas:
En la práctica, una muestra de malware moderna puede combinar varias funciones al mismo tiempo.
Esta secuencia se integra con lo visto en la cadena de intrusión: el malware puede ser el vehículo para una o varias de esas etapas.
Comprender ese propósito ayuda a no quedarse solo en la etiqueta del malware y mirar el objetivo estratégico de la campaña.
No siempre hay señales visibles, pero algunos comportamientos pueden justificar investigación:
La prevención del malware requiere una combinación de controles técnicos y hábitos operativos:
Ante sospecha de malware, la rapidez importa. La respuesta no debe limitarse a borrar un archivo visible. Conviene considerar si hubo robo de credenciales, persistencia, movimiento lateral o exfiltración.
| Tipo | Rasgo principal | Objetivo común |
|---|---|---|
| Virus | Se adhiere a archivos o programas | Infectar y propagarse a través de ejecución |
| Gusano | Se propaga autónomamente por red | Expandirse con rapidez |
| Troyano | Se presenta como algo legítimo | Engañar para abrir paso a otras acciones |
| Spyware | Espía actividad de la víctima | Recolectar información |
| Rootkit | Oculta presencia o actividad | Persistencia y evasión |
| Botnet | Conjunto de equipos controlados remotamente | Operaciones coordinadas a escala |
El malware sigue siendo un componente central del panorama de amenazas porque ofrece a los atacantes un mecanismo flexible para espiar, persistir, expandirse y monetizar accesos. Conocer sus familias principales ayuda a interpretar mejor incidentes y a seleccionar controles acordes al tipo de comportamiento observado.
En el próximo tema se profundizará en un caso particular de enorme impacto actual: el ransomware y el secuestro de información.