Virus informático
En seguridad informática, un virus informático es código malicioso que se reproduce insertando una copia de sí mismo dentro de otro programa, documento o sector de arranque: necesita un anfitrión y que algo o alguien lo ejecute. Es una categoría concreta de malware y no un sinónimo, porque la mayoría de los ataques de hoy no se propagan así.
Cómo funciona
Un virus tiene tres partes: la forma de entrar, el mecanismo de reproducción y la carga que ejecuta. La del medio es la que lo define. Al ejecutarse busca otros ficheros a los que pueda añadir su propio código y los modifica, de manera que cada uno de ellos queda convertido en portador. Sin ese anfitrión no hay virus: es código que viaja dentro de algo que la víctima quiere abrir.
Las familias históricas se distinguen por dónde se alojan. Los infectores de ficheros escriben dentro de ejecutables. Los de sector de arranque se colocan en la parte del disco que el equipo lee antes de cargar el sistema, así que se ejecutan antes que cualquier defensa. Los de macro viven en documentos de oficina y se aprovechan de que esos formatos permiten guardar código junto a los datos. Y los polimórficos cambian su propia forma en cada copia para que dos copias no compartan ninguna firma, que es la respuesta directa a una detección basada en reconocer el fichero.
Tres palabras que se usan como sinónimos y no lo son. Un virus se reproduce dentro de un anfitrión. Un gusano se propaga solo, por la red, sin que nadie abra nada. Un troyano no se reproduce: finge ser otra cosa para que lo ejecutes tú. La diferencia no es académica, porque cambia la contención: frente a un gusano el problema es la red, frente a un virus es el inventario de ficheros infectados, y frente a un troyano es por dónde entró.
Por qué la palabra casi no aparece en un informe
El término sobrevive en el lenguaje corriente y en el nombre de los antivirus, pero no en la taxonomía con la que se trabaja. Lo que aparece en las intrusiones que se investigan hoy es ransomware, ladrones de credenciales, cargadores, herramientas de acceso remoto y wipers. Esas categorías se definen por lo que el código hace y no por cómo se reproduce, y por eso son las que sirven para decidir algo.
Hay dos motivos de fondo. El primero es que gran parte de la actividad ya no necesita fichero: se ejecuta en memoria o directamente a través de utilidades firmadas del propio sistema, así que no hay nada que reconocer. El segundo es que muchas veces el atacante no necesita código malicioso en absoluto, porque entra con credenciales válidas. Los marcos operativos como MITRE ATT&CK clasifican por técnica y no por familia de malware precisamente por esto.
La consecuencia práctica es que preguntar si hay un virus casi nunca es la pregunta útil. Las que sí lo son: qué entró, por dónde, qué se llevó y qué más dejó instalado. Ahí está la diferencia entre borrar un fichero y hacer una respuesta a incidentes.
Lo que no es un virus
El bulo de virus, o hoax, es un mensaje que avisa de una infección que no existe y pide reenviarlo a todos tus contactos o borrar un fichero del sistema que resulta ser legítimo. No hay código y no hay infección: el mecanismo de propagación eres tú. Se parece al phishing en el envoltorio y se diferencia en el objetivo, porque el phishing va a por credenciales o dinero y el bulo solo quiere circular.
Tampoco es un virus casi nada de lo que se le atribuye por costumbre: un equipo lento, un navegador con la página de inicio cambiada, publicidad emergente o un aviso del antivirus que resulta ser un falso positivo. Puede ser minería no autorizada, software no deseado que se instaló con otro programa, o nada. Empezar por el nombre en lugar de por lo observado es lo que hace perder la primera hora.
Qué hacer si sospechas de una infección
Aísla el equipo de la red y no lo apagues, porque buena parte de lo que se podría averiguar vive en la memoria y desaparece al apagar. La única excepción es un cifrado en marcha: ahí cortar la corriente deja de ser una mala idea y pasa a ser lo único que detiene el daño.
No borres y sigas. Eliminar el fichero no contesta cómo llegó, qué credenciales se llevó ni qué otra cosa instaló, y esas tres respuestas son las que deciden si mañana vuelve a pasar. Anota la hora y qué estabas haciendo: esa marca temporal es lo que permite buscar en la telemetría de un EDR o de un SIEM.
Cambia las contraseñas desde otro dispositivo y cierra las sesiones abiertas, no solo las contraseñas: una cookie de sesión robada sigue valiendo después de un cambio de contraseña. Si hay que restaurar, hazlo desde una copia que el equipo comprometido no pudiera alcanzar ni modificar, que es la razón de ser de una copia inmutable. Y avisa a quien lleve los incidentes en tu organización antes de limpiar nada, porque limpiar destruye la evidencia que esa persona necesita.
Dónde aparece esto en una auditoría
Nosotros no soltamos virus en la red de un cliente, y el motivo no es solo legal: un virus se reproduce por su cuenta y un ejercicio tiene que ser reversible. Lo que sí medimos es la otra mitad del problema. En un test interno nos comportamos como un operador con herramientas escritas para ese cliente que nadie ha visto antes, así que cualquier detección que salte está detectando comportamiento y no reconociendo una muestra conocida: ese es el examen honesto de un control de puesto. Registramos cada artefacto que dejamos y devolvemos la lista completa para que no quede nada nuestro. Es parte de lo que se mide cuando la red se ataca desde dentro.