Sality, Melissa y Michelangelo son ejemplos de virus informáticos. Conficker y WannaCry muestran otros comportamientos que suelen confundirse con ellos. Estos diez casos explican qué hace cada amenaza y cómo distinguirla.
Un virus informático es código malicioso que se reproduce infectando otros archivos o soportes de ejecución. Se activa al ejecutar el programa, las instrucciones o el arranque afectados. El nombre alude a su capacidad de propagación; se trata de software, no de un organismo biológico.
Malware es el término general para el software malicioso. Los virus forman parte de él, pero no todo malware es un virus. Tampoco toda molestia o fallo del equipo demuestra una infección.
Los tres primeros casos son virus; del cuarto al noveno se explican otros tipos o comportamientos maliciosos. El décimo es un programa de broma usado como contraste. Los casos hipotéticos se indican expresamente.
El caso: Microsoft describe variantes de la familia Sality que incorporan código a archivos ejecutables de Windows. Un programa legítimo puede quedar infectado.
Cómo se comporta: Cuando se ejecuta el archivo afectado, también puede activarse el código del virus. Algunas variantes extienden la infección a otros archivos y permiten distribuir copias infectadas.
Qué permite distinguir: El rasgo de virus es la infección de archivos que sirven de soporte. No basta con que un programa sea dañino para clasificarlo así.
Qué tener en cuenta: Es una familia documentada con variantes: sus capacidades no son idénticas. Una extensión de archivo, por sí sola, no demuestra infección.
El caso: En marzo de 1999, Microsoft documentó Melissa como un virus de macros de Word distribuido mediante documentos adjuntos al correo electrónico.
Cómo se comporta: Una macro contiene instrucciones que una aplicación puede ejecutar. En el entorno descrito, el documento infectado podía activar el virus si se permitía ejecutar sus macros.
Qué permite distinguir: Un archivo de trabajo también puede contener instrucciones, no solo texto. El correo transportaba el documento; recibir un mensaje y ejecutar su contenido son acciones diferentes.
Qué tener en cuenta: Las macros tienen usos legítimos. No todos los documentos contienen macros ni toda macro es un virus. Las condiciones de este caso histórico no describen todas las versiones actuales de Office.
El caso: Michelangelo fue un virus asociado a discos y disquetes de los primeros años noventa. F-Secure documenta la infección del área de arranque y una activación destructiva ligada al 6 de marzo.
Cómo se comporta: El código infectaba una parte utilizada durante el inicio del equipo. En las variantes descritas, la fecha podía desencadenar la sobrescritura de datos del disco.
Qué permite distinguir: Permite separar propagación y efecto: infectar el arranque es una característica, y activar un daño en una fecha es otra. Un virus puede incorporar una condición temporal.
Qué tener en cuenta: No todas las variantes se activaban de la misma manera. El ejemplo es histórico; no implica que cualquier fallo al arrancar sea este virus ni que todos los virus borren discos.
El caso: La variante Conficker.C documentada por Microsoft podía extenderse a otros equipos de una red y afectar servicios importantes del sistema.
Cómo se comporta: Su propagación aprovechaba vulnerabilidades y otras condiciones de acceso. La ficha también documenta expansión mediante unidades extraíbles y contraseñas débiles en determinados entornos.
Qué permite distinguir: Un gusano puede distribuir copias de sí mismo sin necesitar infectar un documento o ejecutable como soporte. Su funcionamiento no se reduce a ocupar espacio en el disco.
Qué tener en cuenta: Los gusanos pueden alterar servicios, facilitar otras infecciones o saturar recursos. Ser un gusano no lo hace inofensivo; las vías de propagación dependen de la variante y del entorno.
El caso: Una persona instala lo que cree que es una herramienta útil. El programa, además de su apariencia legítima, permite acceso no autorizado al dispositivo.
Cómo se comporta: La apariencia engañosa facilita que el software llegue al equipo. Después puede descargar otras amenazas, recopilar información o permitir que un atacante intervenga.
Qué permite distinguir: Troyano describe el engaño y la función maliciosa oculta. No necesita llevar el nombre de un archivo del sistema: también puede aparentar ser un juego o una utilidad.
Qué tener en cuenta: No se caracteriza por autorreplicarse. Si forma parte de un ataque que también se propaga, hay que distinguir sus componentes y mecanismos. Es un caso conceptual, no un producto real identificado.
CASO 06 · RANSOMWARE CON CAPACIDAD DE GUSANO · CASO DE 2017
WannaCry: cifrado extorsivo y propagación
El caso: WannaCry, también llamado WannaCrypt, afectó equipos en mayo de 2017. Microsoft documentó que cifraba archivos, mostraba una exigencia de pago y se propagaba a equipos vulnerables.
Cómo se comporta: El cifrado impedía usar los archivos normalmente; otro componente permitía extender el ataque por la red a sistemas susceptibles.
Qué permite distinguir: Ransomware describe la extorsión mediante bloqueo o cifrado. Gusano describe una forma de propagarse. Las dos características pueden coincidir en una misma amenaza.
Qué tener en cuenta: Un archivo cifrado no se convierte por eso en un virus: puede ser una víctima del ataque. No todo ransomware tiene la capacidad de propagación de WannaCry.
Un programa que espía información sin conocimiento del usuario
El caso: Un programa registra actividad del usuario y transmite información privada sin que este conozca esa recopilación.
Cómo se comporta: La recogida oculta de información puede afectar a una persona o a una organización. El daño puede existir aunque el dispositivo siga funcionando con aparente normalidad.
Qué permite distinguir: Spyware se clasifica por la vigilancia clandestina. El robo de contraseñas es una posible actividad de software malicioso, pero no define a todos los virus.
Qué tener en cuenta: Recopilar datos y suplantar después a una persona son acciones distintas. Tampoco toda función de registro es spyware: importan su finalidad, transparencia y autorización.
El caso: Un sistema contiene código oculto que altera registros cuando se cumple una condición determinada. Antes de ese momento, esa función maliciosa permanece sin activarse.
Cómo se comporta: La condición podría ser una fecha o un estado del sistema. Una bomba de tiempo es el caso en el que el desencadenante es temporal.
Qué permite distinguir: La categoría describe cuándo se ejecuta una acción maliciosa, no cómo se transmite. No exige autorreplicación ni tiene que borrar todo un disco.
Qué tener en cuenta: Una tarea programada legítima, como un respaldo nocturno, no es una bomba lógica. La condición por sí sola no basta: debe existir una función maliciosa intencional. La fecha tampoco demuestra quién la creó o con qué motivo.
CASO 09 · FALSO PROGRAMA DE SEGURIDAD · EJEMPLO HIPOTÉTICO
Un supuesto antivirus que inventa amenazas
El caso: Una aplicación afirma haber encontrado amenazas inexistentes y exige pagar para resolverlas, aunque no proporciona la protección que anuncia.
Cómo se comporta: El engaño utiliza mensajes alarmantes y una apariencia de herramienta de seguridad para inducir una decisión. Microsoft distingue esta categoría de software malicioso.
Qué permite distinguir: Una alerta mostrada en pantalla es una afirmación del programa, no una prueba independiente de que el equipo esté infectado.
Qué tener en cuenta: No toda alerta es falsa. Conviene verificar de qué aplicación procede; una página web que imita una alerta tampoco demuestra por sí sola que exista un antivirus falso instalado.
El caso: Microsoft documentó Joke:Win32/Paranoia como un programa que mostraba un escritorio falso y mensajes engañosos. También apartaba el botón Inicio del cursor.
Cómo se comporta: El comportamiento buscaba desconcertar al usuario mediante una interfaz simulada. Esa descripción no acredita que infectara otros archivos ni que se autorreplicara.
Qué permite distinguir: La etiqueta joke program o programa de broma no equivale a virus. La clasificación debe atender al comportamiento documentado.
Qué tener en cuenta: Llamarlo broma tampoco garantiza ausencia de consecuencias. Por ejemplo, un programa distinto que forzara un apagado podría hacer perder trabajo sin guardar; ese comportamiento hipotético no se atribuye a Paranoia.
Conviene hacer tres preguntas: ¿cómo llega?, ¿cómo se propaga? y ¿qué hace? Las respuestas pueden describir aspectos distintos del mismo ataque.
Categoría
Rasgo que explica
Ejemplo
Virus
Infecta otros archivos o soportes para reproducirse.
Sality; Melissa; Michelangelo.
Gusano
Propaga copias sin necesitar un archivo huésped.
Conficker.C.
Troyano
Oculta una función maliciosa bajo una apariencia legítima.
Una falsa utilidad que permite acceso no autorizado.
Ransomware
Bloquea o cifra para exigir un rescate.
WannaCry, con capacidad adicional de gusano.
Spyware
Recopila información de forma clandestina.
El programa espía del caso hipotético.
Bomba lógica
Activa una función maliciosa al cumplirse una condición.
Alteración de registros en el caso hipotético.
Estas categorías no son casillas siempre excluyentes. Tampoco indican automáticamente gravedad: una amenaza puede afectar la confidencialidad de los datos, modificarlos o impedir el uso de un servicio. No necesita destruir físicamente el equipo para causar daño.
Una señal no basta para identificar un virus
El equipo va lento: puede haber consumo de recursos por malware, pero también falta de espacio, muchas aplicaciones abiertas u otro problema.
Aparece un mensaje de infección en una web: el mensaje puede ser engañoso; no acredita por sí mismo un análisis del equipo.
Un archivo no abre: puede estar cifrado por ransomware, dañado por otro motivo o ser incompatible con la aplicación utilizada.
El antivirus emite una alerta: hay que revisar el nombre de la detección y la acción aplicada. Un bloqueo antes de ejecutarse no demuestra que la amenaza haya llegado a actuar.
No se nota nada extraño: la ausencia de síntomas visibles tampoco descarta actividad maliciosa.
La clasificación se apoya en el análisis del archivo o del comportamiento y en información de seguridad fiable. El icono, el nombre de un archivo o una pantalla llamativa no bastan para identificar una familia concreta.
Ejemplos de medidas de prevención
Las medidas cumplen funciones diferentes y se complementan:
Instalar actualizaciones: corrige vulnerabilidades conocidas que algunas amenazas pueden aprovechar.
Comprobar procedencia y permisos: ayuda a evitar herramientas engañosas; no se deben habilitar instrucciones de un documento desconocido solo porque un mensaje lo pida.
Mantener la protección de seguridad actualizada: permite detectar y bloquear amenazas conocidas y comportamientos sospechosos.
Guardar respaldos protegidos y probar su recuperación: ayuda a recuperar información. Una copia permanentemente accesible desde el equipo afectado también puede resultar dañada.
Ante una sospecha seria, utiliza la herramienta de seguridad instalada desde su acceso habitual y consulta soporte de confianza. En un equipo de trabajo o estudio, avisa al responsable de sistemas para seguir su procedimiento. Una web alarmante no debe decidir qué programa instalas ni a quién das acceso.
Un programa inserta copias de su código en otros ejecutables. ¿Qué rasgo permite clasificarlo como virus?
Una amenaza se extiende por la red sin infectar documentos como soporte y después cifra archivos para exigir un pago. ¿Puede tener dos clasificaciones?
Un adjunto contiene una macro. ¿Eso demuestra que es un virus?
Una herramienta aparenta ser útil, pero oculta acceso no autorizado. ¿Es necesario que su nombre imite al sistema operativo para ser un troyano?
Un respaldo autorizado se ejecuta todos los días a las 22:00. ¿Es una bomba de tiempo?
El equipo va lento y una web anuncia cientos de virus. ¿Qué se puede concluir solo con esos datos?
Un programa de broma apaga el equipo antes de guardar un documento. ¿Es correcto llamarlo inofensivo?
Un programa recopila contraseñas y otro borra datos. ¿Ambos tienen necesariamente como finalidad robar la identidad?
Ver respuestas explicadas
La infección de otros archivos como soporte para su reproducción y ejecución. Ser molesto o ralentizar un equipo no basta para esa clasificación.
Sí: capacidad de gusano por su propagación y ransomware por el efecto extorsivo. Son ejes distintos; el caso de WannaCry muestra esa combinación.
No. Las macros también automatizan tareas legítimas. Su presencia no demuestra una función maliciosa; importan el contenido y las condiciones de ejecución.
No. El engaño puede adoptar muchas apariencias. La imitación de nombres del sistema es una posibilidad, no un requisito.
No. Tener una condición temporal no convierte una tarea legítima en código malicioso. Una bomba lógica o de tiempo incorpora una función dañina intencional.
Que hay síntomas o mensajes por comprobar, no un diagnóstico demostrado. La lentitud admite otras causas y la web puede mostrar una alerta engañosa.
No. Puede provocar pérdida de trabajo. Ese efecto no basta, por sí solo, para afirmar que se autorreplica o que infecta otros archivos.
No. Robo de datos, destrucción, extorsión y propagación son comportamientos diferentes. La suplantación de identidad puede ser una consecuencia del robo de información, pero no define todo malware.
Errores frecuentes
Llamar virus a todo malware: hay que distinguir el mecanismo y la función.
Presentar los gusanos como inofensivos: su propagación y otras acciones pueden tener consecuencias graves.
Suponer que todo malware roba la identidad: sus efectos pueden ser distintos y combinarse.
Creer que una broma no causa daño: puede interferir con el trabajo o provocar pérdidas.
Equiparar fecha programada con bomba lógica: también hay tareas legítimas que se ejecutan a una hora determinada.
Tomar un síntoma por diagnóstico: lentitud, mensajes y nombres requieren comprobación.
Aplicar un caso antiguo a cualquier sistema actual: las versiones, defensas y condiciones de ejecución cambian.
Glosarios y análisis de los organismos y equipos de seguridad consultados el 10 de octubre de 2026. Los análisis históricos describen las variantes y condiciones documentadas en su fecha.
