El malware (software malicioso) incluye varios tipos diseñados para interrumpir, dañar u obtener acceso no autorizado a sistemas informáticos, como virus, gusanos, troyanos, ransomware y spyware. Estas amenazas suelen propagarse a través de enlaces maliciosos, correos de phishing o software comprometido, lo que exige medidas de seguridad como software antivirus y vigilancia por parte del usuario.

Un punto común de confusión es malware vs. virus. El malware es la categoría más amplia, que abarca desde ransomware hasta troyanos, gusanos, spyware, adware, ataques sin archivos, rootkits, botnets, cryptojackers y más. Un virus es un tipo específico de malware que inserta código en programas legítimos y se replica cuando esos programas se ejecutan. Los virus también necesitan interacción humana para propagarse, como hacer clic en un enlace o abrir un archivo adjunto de correo; no se replican automáticamente. En otras palabras, todo virus es malware, pero no todo malware es un virus.

Cada categoría de malware usa diferentes vectores de infección, mecanismos de persistencia y técnicas de evasión. El ransomware suele comenzar mediante phishing o RDP expuesto, y luego cifra archivos y exige un pago. El malware sin archivos abusa de herramientas legítimas, como PowerShell o WMI, y deja casi ningún rastro en el disco. Los rootkits se incrustan en el sistema operativo y ocultan otro malware de la vista. Saber con qué tipo de malware estás lidiando determina qué controles de detección y acciones de respuesta priorizar.

Lo que hace esto aún más difícil en la práctica es que los ciberataques modernos rara vez dependen de un solo tipo de malware. Las campañas actuales encadenan múltiples amenazas de malware, diseñadas para evadir la detección en cada etapa. El ejemplo mejor documentado es la campaña de Emotet, TrickBot y Ryuk. Emotet (un troyano) proporcionó la capa inicial de acceso y distribución, mientras que TrickBot (un troyano bancario) recolectó credenciales y ayudó con el movimiento lateral. Luego, el ransomware Ryuk cifró los sistemas y exigió el pago. Cada etapa se veía diferente para las herramientas de detección de endpoints, por lo que las organizaciones respondieron a ellas como eventos separados y no relacionados, y fueron sorprendidas por el payload final. 

Por esto es fundamental categorizar el malware por tipo para quienes defienden los sistemas: relaciona cada amenaza con sus requisitos de detección. Las herramientas basadas en firmas detectan el malware conocido basado en archivos. El análisis de comportamiento detecta los ataques sin archivos. Y solo un SIEM con visibilidad completa sobre endpoints, red e identidades puede conectar las señales de una campaña de múltiples etapas antes de que detone el payload final.

1. Ransomware

El ransomware es malware que cifra los archivos o sistemas de una víctima y exige un pago, generalmente en criptomoneda, a cambio de una clave de descifrado. Muchos operadores de ransomware también exfiltran datos antes de cifrarlos, amenazando con publicarlos si no se paga el rescate. Esta táctica se conoce como doble extorsión.

El ransomware puede paralizar por completo las operaciones de un negocio. Incluso las organizaciones que pagan el rescate pueden enfrentar tiempos de inactividad prolongados durante la recuperación. Para las SMB y los MSP, un solo incidente de ransomware puede poner en riesgo su existencia.

Ejemplos reales: El ataque de ransomware WannaCry en 2017 se propagó a 150 países en cuestión de días al explotar la vulnerabilidad EternalBlue de SMB, bloqueando cientos de miles de sistemas, incluidos hospitales del Servicio Nacional de Salud del Reino Unido. BlackCat (ALPHV) representa la generación actual de operaciones de ransomware como servicio (RaaS). Es altamente sofisticado, apunta a infraestructura crítica y exige rescates multimillonarios.

2. Troyanos

Un troyano se disfraza de software legítimo. Piensa en una herramienta útil, una actualización de software o un archivo adjunto de correo diseñado para engañar a los usuarios y hacer que lo ejecuten. Una vez ejecutado, abre una puerta trasera que los atacantes pueden usar para acceder al sistema, robar datos o implementar malware adicional. A diferencia de los gusanos, los troyanos requieren interacción del usuario para instalarse.

Los troyanos suelen ser la primera etapa de ataques de múltiples fases. Establecen puntos de apoyo que los atacantes usan para moverse lateralmente, escalar privilegios e implementar ransomware o cometer fraude financiero semanas después. Piensa en ellos como la puerta por la que pasa todo lo demás.

Ejemplos reales: Emotet comenzó como un troyano bancario en 2014 y se convirtió en una de las plataformas de distribución de malware más destructivas jamás documentadas. Se propagaba mediante archivos adjuntos de correo maliciosos y servía como dropper para TrickBot, Ryuk y otras cargas útiles. El Departamento de Seguridad Nacional de EE. UU. estimó costos de remediación de hasta $1 millón por incidente. TrickBot siguió una trayectoria similar: evolucionó de troyano bancario a plataforma modular para movimiento lateral, robo de credenciales y distribución de ransomware.

3. Gusanos

Los gusanos son malware autorreplicante que se propaga por las redes sin ninguna interacción del usuario. A diferencia de los troyanos, no necesitan un archivo que los aloje. Explotan vulnerabilidades en sistemas operativos o servicios de red para moverse de forma autónoma de una máquina a otra.

Los gusanos son especialmente peligrosos en redes empresariales sin segmentación. Un solo endpoint sin parches puede convertirse de repente en una plataforma de lanzamiento para comprometer a toda una organización. Lo que resulta aún más preocupante es que los gusanos suelen usarse para lanzar cargas útiles de ransomware a gran escala en entornos empresariales. Donde un troyano abre la puerta, un gusano puede derribar todo el edificio.

Ejemplos reales: El gusano Morris (un recuerdo de 1988) fue uno de los primeros en demostrar cómo la autorreplicación podía atravesar sistemas interconectados. Una variante moderna y devastadora, el gusano WannaCry, explota EternalBlue y se propaga lateralmente por redes Windows sin parches sin que se requiera ninguna acción del usuario, convirtiendo un solo endpoint vulnerable en un incidente que afecta a toda la red en cuestión de minutos.

4. Virus

Un virus es un fragmento de código malicioso que se inserta en una aplicación o archivo legítimo y se ejecuta cuando ese archivo se abre o se ejecuta. A diferencia de los gusanos, los virus necesitan un archivo anfitrión y generalmente dependen de una acción del usuario para propagarse, como abrir un adjunto infectado o ejecutar un ejecutable comprometido. Una vez activo, un virus puede corromper archivos, robar datos o lanzar más ataques.

Con el tiempo, los atacantes han migrado a técnicas de virus más evasivas. Pasaron de los virus tradicionales que infectan archivos a virus basados en macros incrustados en documentos de Office como vector de acceso inicial, en especial en campañas de phishing dirigidas a usuarios empresariales.

Ejemplos reales: En 1999, el virus Melissa se propagó mediante documentos infectados de Microsoft Word, enviándose automáticamente por correo a los primeros 50 contactos de la libreta de direcciones de Outlook de la víctima, saturando servidores de correo a nivel mundial. Zeus, un híbrido de virus/troyano bancario, infectó después a millones de equipos Windows para robar credenciales bancarias y cometer fraude contra cuentas empresariales en todo el mundo. 

5. Spyware

El spyware observa silenciosamente la actividad del usuario y recopila datos sensibles, incluidas credenciales de inicio de sesión, datos bancarios, correos electrónicos y hábitos de navegación, todo sin el conocimiento ni el consentimiento del usuario. Luego envía estos datos recopilados a un servidor controlado por el atacante. El spyware es una categoría amplia que incluye tanto herramientas de vigilancia comerciales como ladrones de credenciales genéricos.

El verdadero impacto comercial del spyware es la pérdida de confidencialidad corporativa. Las credenciales robadas significan tomas de control no autorizadas de cuentas. Las comunicaciones interceptadas exponen información sensible a los atacantes, como actividad de fusiones y adquisiciones, estrategia legal o datos financieros, mucho antes de que las organizaciones descubran el daño.

Ejemplo real: Pegasus, desarrollado por NSO Group, es uno de los spyware más sofisticados jamás documentados. Capaz de infectar dispositivos iOS y Android mediante exploits de clic cero, puede acceder a mensajes, correos, llamadas, cámaras y micrófonos sin interacción del usuario. Los abusos documentados han incluido el espionaje de periodistas, defensores de derechos humanos y ejecutivos de empresas, lo que lo convierte en una amenaza significativa de espionaje corporativo.

6. Keyloggers

Un keylogger registra cada pulsación de tecla de un dispositivo infectado y envía los datos capturados a un atacante. Están diseñados específicamente para robar nombres de usuario, contraseñas, números de tarjetas de crédito y otra información sensible ingresada por el usuario. Los keyloggers suelen ser un componente de infecciones de spyware o troyanos.

Los keyloggers son uno de los principales impulsores del robo de credenciales. Un solo conjunto de credenciales de administrador robadas puede darles a los atacantes acceso persistente a sistemas críticos durante semanas o meses antes de ser detectados.

Ejemplo real: El keylogger Olympic Vision se usó en campañas de compromiso de correo empresarial (BEC) dirigidas a ejecutivos en EE. UU., Medio Oriente y Asia. Distribuido mediante correos de spear phishing, capturaba credenciales y monitoreaba comunicaciones empresariales, lo que llevó a los atacantes a interceptar transferencias bancarias y negociaciones de acuerdos sensibles. Olympic Vision se vendía en mercados clandestinos por tan solo $25, lo que demuestra lo accesibles que se han vuelto las amenazas de malware.

7. Adware

El adware muestra anuncios no deseados, redirige el tráfico del navegador y recopila datos del usuario con fines publicitarios. Es fácil descartarlo como de baja gravedad, solo ventanas emergentes molestas, ¿verdad? No del todo. El adware malicioso puede funcionar también como spyware, degradar el rendimiento del endpoint, redirigir a los usuarios a sitios de phishing o servir como vector de distribución de malware más peligroso.

La presencia generalizada de adware en un entorno corporativo indica vacíos en el control de endpoints. Si los usuarios pueden instalar adware no autorizado, también podrán (y lo harán) instalar software aún más peligroso por los mismos canales.

Ejemplo real: Fireball infectó más de 250 millones de computadoras y casi una quinta parte de las redes corporativas a nivel mundial en 2017. Secuestraba navegadores, reemplazaba los motores de búsqueda predeterminados y rastreaba la actividad web a gran escala. Esto es lo más alarmante de Fireball: los investigadores de seguridad descubrieron que tres cuartas partes de las infecciones de Fireball les daban a los atacantes un punto de apoyo persistente para descargar y ejecutar código arbitrario de forma remota. La misma infraestructura que servía anuncios podía convertirse en arma para ataques de malware mucho más dañinos en cualquier momento.

8. Malware sin archivos

El malware sin archivos se ejecuta por completo en la memoria, aprovechando herramientas legítimas del sistema, como PowerShell, WMI o el Registro de Windows, para realizar actividad maliciosa sin dejar un rastro de archivo tradicional. En otras palabras, no se escribe en el disco. Y como no hay ningún archivo que analizar, las herramientas antivirus convencionales no siempre lo detectan. 

Eso es lo que lo hace tan eficaz. El malware sin archivos golpea con más fuerza que los ataques basados en archivos porque evade los controles basados en firmas en los que la mayoría de las organizaciones confían como su principal defensa de endpoints. Es la técnica preferida de los actores de amenazas sofisticados durante las primeras etapas de las campañas de ransomware.

Ejemplo real: Astaroth es una campaña de malware sin archivos muy bien documentada que usaba correos de spear phishing con archivos de acceso directo .LNK maliciosos para activar una cadena de utilidades legítimas de Windows (WMIC, BITSAdmin y otras), descargando y ejecutando código malicioso por completo en memoria sin que nunca se escribiera un archivo en el disco. Los ataques basados en PowerShell siguen el mismo patrón y están entre las técnicas sin archivos más observadas en incidentes empresariales activos hoy en día.

9. Rootkits

Un rootkit les da a los atacantes acceso persistente y con privilegios a un sistema al modificar componentes del sistema operativo, incluidos archivos del kernel, registros de arranque y controladores, para ocultar procesos maliciosos, manipular registros y evadir la detección. Están entre los tipos de malware más difíciles de detectar y eliminar.

Una organización que opera una máquina infectada con un rootkit podría creer que está segura, pero en realidad, un atacante tiene acceso administrativo total. Lee archivos, intercepta tráfico y prepara ataques adicionales sin dejar rastro.

Ejemplo real: Zacinlo infectaba sistemas haciéndose pasar por una aplicación VPN gratuita. Una vez instalado, eliminaba malware competidor, abría sesiones de navegador invisibles y ejecutaba fraude por clics publicitarios... todo mientras se ocultaba de las herramientas de seguridad estándar. Sus capacidades de rootkit le permitían persistir sin ser detectado en sistemas Windows 10 durante periodos prolongados.

10. Botnets

Un botnet es una red de dispositivos comprometidos controlados remotamente por un atacante a través de un servidor de comando y control (C2). Los dispositivos se convierten en bots cuando se infectan con malware que los conecta a la infraestructura de C2. Los botnets se usan para lanzar ataques de denegación de servicio distribuido (DDoS), distribuir spam, propagar amenazas de malware adicionales y llevar a cabo campañas de credential stuffing a gran escala.

Para las empresas, esto se traduce en una degradación inexplicable del rendimiento, bloqueo de correos por parte de filtros antispam y una posible exposición regulatoria si la infraestructura de tu organización termina siendo usada para atacar a otros, a menudo sin que te enteres de que está sucediendo.

Ejemplo real: El botnet Mirai fue noticia mundial en 2016 cuando reclutó a cientos de miles de dispositivos IoT explotando credenciales predeterminadas. Luego lanzó un ataque masivo de DDoS que interrumpió gran parte de la infraestructura de internet de la costa este de EE. UU. El código fuente de Mirai se filtró posteriormente, dando lugar a decenas de variantes activas que todavía circulan hoy. 

11. Cryptojackers

El malware de cryptojacking secuestra los recursos informáticos de una víctima para minar criptomoneda para el atacante. A diferencia del ransomware, los cryptojackers permanecen ocultos porque cuanto más tiempo operan sin ser detectados, más valor generan para los atacantes. Las principales señales de alerta son picos inexplicables de CPU, degradación del rendimiento del sistema y mayor consumo de energía.

En entornos con gran uso de cloud, el cryptojacking puede elevar los costos de infraestructura. En entornos empresariales locales, degrada el rendimiento del hardware y acelera su desgaste. Es una de esas amenazas que pasa desapercibida hasta que el daño ya se ha acumulado.

Ejemplo real: Coinhive, antes de su cierre en 2019, estaba incrustado en miles de sitios web y entornos empresariales comprometidos, minando Monero silenciosamente al secuestrar la capacidad de procesamiento de visitantes y empleados. En su punto máximo, el cryptojacking superó al ransomware como la amenaza de malware más detectada a nivel mundial. Los atacantes han dirigido cada vez más sus objetivos hacia infraestructura cloud y clústeres de Kubernetes, donde los recursos pueden explotarse durante meses sin ser detectados.

12. Malware móvil

El malware móvil apunta a smartphones y tabletas mediante aplicaciones maliciosas, enlaces de phishing, ataques por SMS (smishing) y tiendas de aplicaciones comprometidas. Incluye versiones específicas para dispositivos móviles de troyanos, spyware, ransomware y ladrones de credenciales bancarias. Los dispositivos móviles son objetivos cada vez más atractivos porque contienen datos corporativos sensibles, acceso a sistemas empresariales legítimos y, a menudo, no cuentan con el mismo nivel de controles de seguridad que los endpoints tradicionales.

A medida que los empleados usan dispositivos móviles para acceder al correo corporativo, las VPN y las aplicaciones SaaS, el malware móvil se convierte en una vía directa hacia los entornos empresariales, con el riesgo adicional de evadir los controles de autenticación multifactor (MFA) en los que las organizaciones confían como línea adicional de defensa.

Ejemplo real: Los troyanos bancarios de Android, incluidas familias como Cerberus, Anubis y SharkBot, superponen a las aplicaciones bancarias legítimas pantallas de inicio de sesión falsas e interceptan códigos de autenticación de dos factores enviados por SMS para vaciar cuentas silenciosamente. Triada, una amenaza más sofisticada, venía preinstalada en millones de dispositivos Android a nivel de la cadena de suministro antes de llegar a los consumidores, lo que les daba a los atacantes acceso desde el momento en que el dispositivo se encendía por primera vez.

Ya has visto 12 tipos distintos de malware, cada uno con comportamientos, objetivos y técnicas de evasión diferentes. La mayoría de las organizaciones cuentan con alguna forma de Detección y respuesta para endpoints. Entonces, ¿qué está fallando? La respuesta no es la falta de herramientas. Son los espacios entre ellas. 

La detección basada en firmas no funciona contra malware polimórfico. El malware polimórfico cambia constantemente su código: nombres de archivo, claves de cifrado o firmas con cada nueva infección. Pero el antivirus tradicional funciona comparando archivos con una base de datos de firmas de malware conocidas, no con las que se reinventan constantemente. Esta es una de las brechas de detección más explotadas en los entornos empresariales actuales.

El malware sin archivos no tiene un archivo que escanear. Opera completamente en la memoria usando herramientas legítimas del sistema. No se escribe ningún archivo en el disco, por lo que no hay ningún rastro que un escaneo basado en archivos pueda detectar. La detección requiere un análisis de comportamiento de los patrones de ejecución de procesos, no una inspección de archivos. La mayoría de las organizaciones no están preparadas para eso. 

El malware explota el comportamiento humano antes de llegar a un control técnico. La urgencia, la autoridad, la confianza, la curiosidad: estos factores psicológicos siguen siendo el mecanismo de distribución de malware más confiable. El scareware usa alertas falsas del sistema para presionar a los usuarios a tomar acciones dañinas. Los correos de phishing que generan urgencia siguen funcionando a gran escala, especialmente con IA. Presionar a las víctimas para que actúen rápido sigue siendo una técnica exitosa de infección por malware. Los controles técnicos y el Managed Security Awareness Training deben trabajar juntos aquí, porque ninguno cubre la brecha por sí solo.

Las campañas de varias etapas parecen eventos aislados y sin relación. En una cadena de ataque de Emotet, TrickBot y Ryuk, cada etapa está diseñada para parecer inofensiva o manejable de forma aislada. Una macro maliciosa en una extensión de archivo DOC de Word. Acceso inusual a credenciales. Movimiento lateral vía RDP. Ninguna herramienta de endpoint por sí sola ve el panorama completo. Sin una correlación entre entornos, el ataque llega a la etapa de despliegue de ransomware antes de que los analistas conecten los puntos.

Las herramientas de endpoint no detectan amenazas de identidad. Los atacantes modernos pasan de endpoints comprometidos a proveedores de identidad, como Active Directory, Azure AD u Okta, para escalar privilegios y mantener acceso persistente. Una herramienta de detección de endpoints que vigila una sola máquina pasará por alto por completo la actividad en la capa de identidad.

La detección tardía amplifica el daño. Cuanto más tiempo permanece sin detectar una amenaza de malware, más acceso acumulan los atacantes. Y los costos de remediación se disparan rápido. La velocidad de detección y respuesta es uno de los factores más determinantes en el costo de una filtración de datos.

Este es el problema central: los defensores necesitan correlación de amenazas en toda la superficie de ataque, no solo más alertas de herramientas individuales. Conectar la ejecución sospechosa de PowerShell en un endpoint con un evento de acceso a credenciales en Azure AD y transferencias salientes inusuales desde un servidor de archivos requiere visibilidad en todo el entorno, no solo en endpoints individuales.

Huntress SIEM aborda el problema de la correlación de frente, conectando señales en todo tu entorno que las herramientas de endpoint aisladas dejan desconectadas. Así es como aborda la detección de campañas de malware de múltiples etapas:

Señales previas a la ejecución. Muchas campañas de malware muestran señales de alerta antes de que un payload realmente se ejecute. La ejecución inusual de scripts, descargas inesperadas de software, nuevas tareas programadas, modificaciones de claves de ejecución en el registro o actividad anómala de PowerShell son todas señales previas a la ejecución de que hay una etapa de preparación en curso. Managed SIEM ingiere y correlaciona estas señales en tiempo real, marcando el comportamiento anómalo previo a la ejecución antes de que un punto de apoyo persistente se convierta en una intrusión completa.

Indicadores de movimiento lateral. Una vez dentro, los atacantes se mueven. Las secuencias de autenticación inusuales, la creación de nuevas cuentas de administrador y las sesiones de RDP desde IP de origen inesperadas son patrones de movimiento lateral que Managed SIEM correlaciona entre la telemetría de identidad y de red para revelar intrusiones activas en curso.

Comportamientos de preparación de datos. Antes de exfiltrar datos o desplegar ransomware, los atacantes los preparan: acceso masivo a archivos, compresión masiva, archivado en directorios inusuales y transferencias salientes inesperadas. Estos comportamientos son difíciles de detectar en el registro de un solo endpoint, pero surgen como patrones claros cuando se correlacionan entre múltiples fuentes de registro.

Analistas humanos, no solo reglas de correlación. Las reglas de correlación solo llegan hasta cierto punto. El centro de operaciones de seguridad (SOC) de Huntress, disponible 24/7, liderado por humanos y centrado en IA, cuenta con analistas humanos que revisan las señales escaladas, aplican contexto de amenazas y distinguen las amenazas de malware reales del ruido. Cuando hay una campaña de múltiples etapas en curso, los analistas del SOC conectan el artefacto previo a la ejecución con el evento de movimiento lateral y con el comportamiento de preparación de datos. Intervienen para iniciar una respuesta y detener el ataque antes de que alcance su objetivo. 

El resultado: visibilidad de todo el entorno, alertas correlacionadas y supervisión experta humana trabajando juntas para detectar los ataques que las herramientas aisladas pasan por alto.

El malware no es una sola amenaza. Es una categoría amplia y en constante evolución de ciberataques, cada uno con señales, vectores de ataque y requisitos de detección únicos. Desde el ransomware que cifra y extorsiona, pasando por el malware sin archivos que se esconde en memoria, hasta las campañas de múltiples etapas que encadenan troyanos, robadores de credenciales y ransomware en una sola cadena de ataque, la variedad de amenazas de malware que enfrentan hoy las organizaciones exige más que una respuesta genérica.

Cada ejemplo de malware cubierto en esta guía sigue su propia lógica: diferentes puntos de entrada, diferentes técnicas de persistencia, diferentes requisitos de detección. Entender esas diferencias es lo que separa una respuesta reactiva a incidentes de una estrategia de defensa proactiva.

Entender los tipos comunes de malware que enfrenta tu organización te ayuda a hacer tres cosas para mejorar la postura de seguridad:

1. Entender los vectores de ataque. Saber cómo cada tipo de malware obtiene acceso inicial a tu entorno te muestra dónde priorizar los controles de seguridad preventivos.

2. Implementar las capas de detección adecuadas. Diferentes tipos de ataques de malware requieren distintos enfoques de detección. Las herramientas basadas en firmas, el análisis de comportamiento y la correlación de SIEM cubren, cada uno, terreno que los demás no pueden, dando mayor visibilidad de tu superficie de ataque.

3. Reconocer cuándo se necesitan múltiples herramientas. Ninguna herramienta por sí sola detecta todas las amenazas de malware. Las campañas de múltiples etapas requieren visibilidad en capas entre endpoints, red e identidad para poder detectarlas.

Huntress Managed SIEM es la capa de correlación que hace que tu conjunto de herramientas de detección trabaje en conjunto, revelando amenazas de múltiples etapas que las herramientas aisladas pasan por alto, respaldado por un SOC disponible 24/7 que actúa rápido sobre lo que encuentra.