¿Qué hace el PC cuando no lo usas? Análisis sobre procesos ocultos e intrusos

Descubre cómo detectar y manejar malware en tu computadora con herramientas integradas y externas, y protege tu sistema de intrusiones silenciosas y amenazas avanzadas.

Puede suceder que el ventilador de la computadora comience a girar al máximo sin motivo, que el cursor del ratón tenga micro-saltos imperceptibles o que la conexión se ralentice repentinamente. La reacción instintiva es lanzar un escaneo completo con el antivirus, pero a menudo el resultado es un tranquilizador pero inútil "No se detectó ninguna amenaza". Muchos códigos maliciosos modernos, como los cryptominers, spyware y keyloggers, están programados para entrar en suspensión cuando detectan un escaneo activo o para inyectarse dentro de procesos legítimos de Windows, volviéndose invisibles a los controles automáticos. Confiar solo en suites de seguridad ya no es suficiente; es necesario aprender a leer los signos vitales del sistema operativo para defenderse de las intrusiones silenciosas.

Análisis preliminar con Gestión de tareas

Antes de descargar software externo, Windows ya posee las herramientas para un primer control, pero la información básica está oculta por defecto. El Administrador de tareas debe configurarse correctamente para volverse útil.

Presionando CTRL + SHIFT + ESC se abre la Gestión de tareas. Al desplazarse a la pestaña Detalles (atención, no a la pestaña "Procesos", que es demasiado simplificada), se debe hacer clic derecho en la barra de encabezados de columnas y elegir Seleccionar columnas. Aquí es necesario activar dos opciones:

• Ruta de comando: revela la ruta exacta en el disco de donde parte un programa.
• Autor: muestra qué empresa ha firmado digitalmente el ejecutable.

Un proceso llamado chrome.exe o svchost.exe parece legítimo a primera vista. Sin embargo, si la columna Ruta de comando indica que la ejecución parte de una carpeta temporal (como C:\Users\Nombre\AppData\Local\Temp) en lugar de las canónicas C:\Program Files o C:\Windows\System32, estamos casi ciertamente ante un malware. De manera similar, si la columna Firmante está vacía o indica "No se puede verificar" para un supuesto proceso del sistema, es una señal de alarma que requiere investigaciones inmediatas.

Process Explorer: la prueba del nueve con VirusTotal

Cuando el malware utiliza técnicas avanzadas de ocultamiento, el Administrador de tareas muestra sus limitaciones. La herramienta de referencia para el análisis forense inmediato es Process Explorer de la suite Sysinternals de Microsoft. Es un programa "portable" que no requiere instalación y muestra la estructura en árbol de los procesos, aclarando quién ha iniciado qué.

La función determinante de esta herramienta se encuentra en el menú Options > VirusTotal.com > Check VirusTotal.com. Al activarla, el software envía el hash (la huella digital única) de cada proceso en ejecución a la base de datos de VirusTotal. En pocos segundos aparecerá una columna con una puntuación (ej. 0/70). Si un proceso aparentemente inofensivo marca incluso un valor de 3/70 o superior, al hacer clic en el número se abrirá el informe detallado de la amenaza. Es el método más rápido para desenmascarar agentes maliciosos que utilizan nombres de archivos robados a Windows.

Monitorear las conexiones con Portmaster

Un PC infectado casi siempre necesita comunicarse con el exterior, tanto para enviar datos robados como para recibir comandos de un servidor remoto (C&C). Mientras que herramientas históricas como TCPView son válidas, hoy existe una solución open source más moderna y completa: Portmaster.

A diferencia de los firewalls clásicos que bombardean al usuario con popups, Portmaster ofrece una visión gráfica de todas las conexiones entrantes y salientes. Permite ver en tiempo real si un proceso que no debería utilizar internet (como el Bloc de notas o un visor de fotos) está enviando paquetes de datos hacia países extranjeros. Si notan una actividad de red constante por parte de un ejecutable desconocido, Portmaster permite bloquear esa conexión específica con un clic, cortando el "hilo" que conecta el malware con su creador.

Persistencia: escudriñar los programas en inicio automático

Para sobrevivir al reinicio de la computadora, un virus debe escribir instrucciones en algún lugar del sistema. La pestaña "Inicio" de Windows es insuficiente porque muestra solo un mínimo.

Parte de los puntos de ejecución.

La única herramienta capaz de mapear cada punto de inicio es Autoruns. Una vez que se inicia con privilegios de administrador, se recomienda ir al menú Options y activar Hide Windows Entries y Hide Microsoft Entries. Este filtro oculta los archivos de sistema certificados, dejando visible solo lo de terceros.

Las secciones críticas a inspeccionar son:

• Logon: los programas que se inician al acceso del usuario.
• Scheduled Tasks: el escondite preferido de los mineros de criptomonedas que se activan en horarios específicos.
• Services: los servicios en segundo plano que funcionan con privilegios elevados.
• Image Hijacks: una técnica insidiosa donde el malware se reemplaza con un software legítimo en el registro de sistema.

En Autoruns, las líneas resaltadas en rosa indican archivos sin firma digital verificada, mientras que las de amarillo señalan archivos faltantes. Si encuentran entradas rosas que apuntan a rutas extrañas como AppData o ProgramData con nombres aleatorios (ej. x83jsd.exe), deshabilítenlas desmarcando la casilla al lado. Si no están seguros de qué es un archivo, es mejor buscar su nombre en línea antes de eliminarlo, para evitar bloquear controladores necesarios.

El control del archivo Hosts y de los DNS

Un método "a la antigua" pero aún muy utilizado por el malware para redirigir el tráfico o impedir que los antivirus se actualicen es la modificación del archivo Hosts. Se encuentra en la ruta C:\Windows\System32\drivers\etc\hosts. Se puede abrir con el Bloc de notas.

Un archivo Hosts limpio contiene muchas líneas que comienzan con el símbolo # (comentarios) y pocas líneas activas. Si debajo de las líneas de comentarios ven una lista de sitios web de seguridad (como kaspersky.com, bitdefender.com) asociados con la dirección 127.0.0.1, significa que un malware está impidiendo que la PC acceda a esos sitios para descargar las herramientas de eliminación. Eliminar esas líneas y guardar el archivo (como administrador) restaurará el acceso.

System Informer: la alternativa open source

Para quienes buscan una gestión de procesos aún más profunda que Process Explorer, System Informer (anteriormente conocido como Process Hacker) es la solución más potente. Además de los gráficos sobre CPU y disco, permite buscar cadenas específicas directamente en la memoria RAM.

Esta función es vital para identificar malware "sin archivos" que no guardan archivos en el disco duro, sino que residen solo en la memoria volátil. Además, System Informer es excelente para desbloquear, finalizar o eliminar archivos que Windows declara como "en uso por otro programa", permitiendo la erradicación manual de archivos resistentes.

Otras análisis y peligros

Cuando se procede con la limpieza manual, hay señales y comportamientos que no deben ser ignorados:

• El truco del nombre duplicado: Windows no permite dos archivos con el mismo nombre en la misma carpeta. Si ven un svchost.exe en una carpeta diferente a System32, es seguramente malicioso.
• Atacantes de PowerShell: Si notan que el proceso powershell.exe consume recursos sin que ustedes lo hayan abierto, probablemente está ejecutando un script oculto. Terminen el proceso y revisen la Utilidad de Programación.
• Exclusiones de Antivirus: Revisen la configuración de Windows Defender o su antivirus. Los malware inteligentes se añaden a sí mismos o a su carpeta en la lista de "Exclusiones" para nunca ser escaneados.
• Uso anómalo de GPU: Si el PC se ralentiza pero la CPU está tranquila, verifiquen la columna GPU en el Administrador de tareas. Los programas de minería utilizan la tarjeta de video, dejando libre el procesador para no levantar sospechas inmediatas.

Si deseas encontrar artículos similares a ¿Qué hace el PC cuando no lo usas? Análisis sobre procesos ocultos e intrusos, te sugerimos revisar la categoría Seguridad.