Malware: qué es, tipos y qué puede pararlo en la red de la empresa

Malware es la palabra que lo abarca todo: el virus de toda la vida, el troyano que se hace pasar por un programa normal, el ransomware que cifra los archivos y pide un rescate. Es, además, lo que más trabajo da: de los más de 122.000 incidentes que gestionó INCIBE en 2025, 55.411 estaban relacionados con malware, más del 45 % del total, según su balance del año. Esta guía explica qué es, qué tipos hay, cómo entra y qué parte puede parar el cortafuegos.

Qué es el malware

INCIBE lo define como un programa informático que se ejecuta sin el conocimiento ni la autorización del propietario o usuario del equipo y que hace en él cosas perjudiciales para el usuario, para el sistema o para los dos.

Al principio se hablaba de virus. INCIBE cuenta que, desde que aparecieron a finales del siglo pasado, fueron cambiando para hacerse más dañinos y resistentes, y se diversificaron tanto que se terminó por llamarlos malware, un nombre que reúne los virus y el resto del software malicioso: troyanos, gusanos, spyware, adware… Sea cual sea su forma de actuar, su objetivo final, dice INCIBE, es causar daño para sacar un beneficio económico.

Los tipos de malware

Estos son los tipos principales que describe INCIBE:

INCIBE añade otro que explica bien cómo funcionan muchas infecciones: el dropper. Es un ejecutable (un .exe, un .msi, un documento .docm…) que a simple vista parece inofensivo y cuyo trabajo es descargar e instalar el malware de verdad, aprovechando que el equipo esté desactualizado. Después se borra solo, sin dejar rastro. Los persistentes tocan el registro del equipo y siguen descargando el malware hasta que se limpian esos cambios.

Cómo entra

INCIBE dice que las técnicas para hacer llegar el malware son muy variadas, pero muchas se apoyan en la ingeniería social: engañar a la persona para que lo ejecute ella misma. Estas son las vías que cita para el dropper, y valen para casi todo el malware:

• Una web infectada, o un supuesto vídeo que en realidad descarga el programa.
• Un enlace que parece legítimo y lleva a contenido malicioso, como los del phishing.
• Un aviso o mensaje de advertencia falso en la pantalla.
• Un adjunto de un correo malicioso.
• Una memoria USB encontrada o infectada.
• Programas bajados de tiendas o webs que no son las oficiales.

A eso se suman los fallos de seguridad del sistema operativo y de las aplicaciones sin parchear, que el ransomware y el dropper aprovechan según INCIBE, y los servicios abiertos a internet, como un escritorio remoto expuesto.

Cómo se detecta: firmas, heurística y sandbox

INCIBE explica que un antivirus detecta el malware de dos formas:

• Por firmas. Compara cada archivo con una base de datos de huellas de malware conocido que genera el fabricante. Es rápido, pero llega tarde: entre que aparece un malware y la firma llega al equipo pasa un tiempo, y cada día se crean muchísimos archivos maliciosos nuevos.
• Por heurística. Puntúa lo que hace el archivo (si cambia el registro, si abre una conexión con otro equipo…) y, si pasa de un umbral, lo trata como amenaza. Detecta malware que aún no tiene firma, a cambio de más falsos positivos y más carga en el equipo. Su forma activa ejecuta la muestra en un entorno aislado, un sandbox, para ver cómo se comporta.

Por eso INCIBE insiste en mantener el antivirus actualizado: con las firmas y los algoritmos al día, la protección es la más alta posible. Y también advierte de que no es infalible y puede no detectar el 100 % del malware. En las empresas, el siguiente paso es un EDR, que vigila el comportamiento de los equipos además de buscar firmas.

Qué hace el cortafuegos contra el malware

Un cortafuegos con funciones de seguridad (lo que se llama un UTM o un NGFW) no sustituye al antivirus del equipo, pero lo adelanta: puede parar el malware en la red, antes de que llegue al ordenador. Fortinet describe así lo que hace un UTM:

• Antivirus en la red. Compara los archivos que pasan con bases de firmas para parar archivos infectados, troyanos, gusanos y spyware.
• Heurística y sandbox para el malware nuevo que aún no tiene firma.
• Tráfico de entrada y de salida. Como mira lo que sale, también puede impedir que un equipo infectado de la red reparta el malware a otras redes.

Fuera de ese antivirus, el cortafuegos ayuda de otras dos maneras:

• Cortando el camino a las webs maliciosas. El filtrado web bloquea por categorías las webs que el fabricante tiene marcadas como maliciosas. Es lo que INCIBE llama listas negras de acceso a internet, una de sus recomendaciones contra el dropper.
• Con un sistema de prevención de intrusiones. En el OPNsense, por ejemplo, el IPS puede usar las listas de abuse.ch, que según su documentación incluyen certificados SSL asociados a malware o a botnets y direcciones de servidores de mando de malware, y descartar el tráfico que coincide.

Esto es criterio de esta web: el antivirus de la red tiene dos puntos ciegos. No ve lo que entra por un USB ni lo que llega por una conexión cifrada que no se inspecciona, y hoy casi todo va cifrado. Por eso INCIBE pide software de protección en cada dispositivo, además del cortafuegos. Las firmas del cortafuegos, como las del antivirus, llegan con una suscripción que se paga cada año: sin ella, el aparato sigue filtrando puertos, pero deja de reconocer el malware nuevo.

Cómo protegerse

Las buenas prácticas que da INCIBE para la empresa son estas:

1. Mantener actualizados el sistema operativo y todos los programas.
2. Tener software de protección en todos los dispositivos (antivirus, cortafuegos, herramientas antiphishing) y programar análisis periódicos.
3. Bloquear el acceso a webs de dudosa fiabilidad.
4. No abrir adjuntos de remitentes desconocidos sin analizarlos antes.
5. Desactivar la ejecución automática de las memorias USB y discos externos, y no conectar dispositivos desconocidos.
6. Instalar programas y apps solo desde tiendas y webs oficiales.
7. Hacer copias de seguridad periódicas, para tener los datos en otro sitio si el malware los cifra o los borra.
8. Formar y concienciar a la plantilla.

INCIBE añade que el antimalware debe permitir bloquear su configuración para que nadie lo desactive, por error o a propósito. Esto es criterio de esta web: lo mismo vale para el cortafuegos, con una contraseña de administrador que solo tenga quien lo gestiona.

Qué hacer si entra

INCIBE recuerda que, aunque el antivirus elimina mucho malware, a veces toca desinfectar el equipo a mano. Estos son los pasos de su guía de desinfección:

1. Desconectar el dispositivo de la red, para que el virus no se propague.
2. Analizarlo con un antivirus actualizado. Si no se puede de forma normal, arrancar en modo seguro, que solo carga lo imprescindible, o desde un USB o un disco de rescate.
3. Si nada de eso funciona, restaurar el sistema desde una copia de seguridad anterior o, como último recurso, formatear y reinstalar. INCIBE avisa de que hay que analizar también las copias, sobre todo las que guardan instaladores, porque podrían estar infectadas.
4. Cambiar las contraseñas de todas las cuentas que se usaban en ese equipo y vigilar si hay actividad rara en ellas.

Esto es criterio de esta web: si la infección llegó por la red, los registros del cortafuegos ayudan a ver con qué direcciones habló el equipo y si otros equipos hicieron lo mismo.

Si no sabes cómo seguir, la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial, y sus técnicos indican cómo proceder.