Si tu Windows se comporta de forma rara —lentitud repentina, programas que no reconocés, el navegador redirigiendo a otros sitios—, el camino ordenado es actualizar Microsoft Defender y correr un análisis completo, aislar la causa arrancando en Modo seguro y, si los síntomas persisten, ejecutar el análisis sin conexión de Microsoft Defender: revisa el equipo desde fuera de Windows y detecta amenazas que se esconden mientras el sistema está en marcha, como los rootkits. Si nada resuelve el problema, conviene reinstalar desde medios de instalación en vez de solo restablecer. Esta guía no cubre ransomware activo: si tus archivos aparecen cifrados con una nota de rescate, el protocolo es otro.
Ver índice de contenidos
- 01Indicios de malware y cuándo esta guía no aplica
- 02El procedimiento ordenado, paso a paso
- 03Los tres análisis de Microsoft Defender, comparados
- 04Modo seguro: para aislar, no para limpiar
- 05El análisis sin conexión: el paso clave
- 06Revisar el inicio automático y el navegador
- 07Si la detección o la eliminación siguen fallando
- 08Cuándo conviene reinstalar en vez de restablecer
- 09Errores frecuentes
- 10Preguntas frecuentes
- 11Fuentes
Indicios de malware y cuándo esta guía no aplica
El malware —programas o código diseñado para dañar, espiar o tomar control de un sistema sin autorización— se manifiesta en Windows con señales reconocibles: lentitud repentina; ventanas emergentes o programas que no instalaste; el ventilador al máximo con el equipo en reposo; el navegador cambia solo la página de inicio o te redirige a otros sitios; Defender se desactiva solo; procesos desconocidos consumiendo procesador o red en el Administrador de tareas.
Esta guía cubre malware general. Excluye a propósito un caso puntual: el ransomware activo, el malware que cifra archivos y exige un pago para devolverlos. Si tus documentos aparecen con la extensión cambiada, ilegibles, y hay una nota de rescate en el escritorio, no sigas estos pasos: el protocolo correcto está en nuestra guía sobre qué es un ransomware y cómo responder ante un ataque.
Confundir ambos escenarios es un error frecuente: limpiar con calma un equipo con ransomware activo hace perder tiempo justo cuando más importa aislar la red. Para entender antes cómo se diferencian virus, troyano, gusano y spyware, tenemos una guía sobre tipos de malware.
El procedimiento ordenado, paso a paso
El orden importa más que la velocidad: cada paso descarta una posibilidad antes de pasar al siguiente. Saltar a reinstalar sin diagnosticar es tan mal error como quedarse con un análisis rápido cuando hay indicios de persistencia.
- Actualizar Microsoft Defender y correr un análisis completoDesde Seguridad de Windows, asegurate de tener las definiciones al día y ejecutá un análisis completo, no rápido: revisa todos los archivos y programas del disco.
- Modo seguro para aislar la causaArrancá en Modo seguro, que carga solo un conjunto mínimo de archivos y controladores. Si el problema desaparece ahí, la causa se activa con el arranque normal. Sirve para aislar, no para limpiar por sí solo.
- Análisis sin conexión de Microsoft DefenderSi el síntoma vuelve tras el análisis completo, este es el paso que más gente se salta: reinicia el equipo a un entorno separado, fuera de Windows en ejecución, pensado para amenazas que evaden el sistema en marcha, como los rootkits.
- Si la detección o la eliminación siguen fallandoMicrosoft documenta un flujo oficial de solución de problemas, con diagnóstico adicional antes de asumir que hay que reinstalar.
- Reinstalar cuando el comportamiento persisteConviene reinstalar desde medios de instalación, no solo restablecer el equipo desde el sistema comprometido. Respaldá los datos antes e instalá aplicaciones solo desde fuentes de confianza después.
Los tres análisis de Microsoft Defender, comparados
Seguridad de Windows ofrece tres análisis con Microsoft Defender, y no son intercambiables: cada uno cubre un caso distinto.
| Análisis | Qué revisa | Cuándo conviene | ¿Detecta lo que evade a Windows en marcha? |
|---|---|---|---|
| Rápido | Las ubicaciones del sistema donde el malware suele instalarse | Chequeo rutinario, sin indicios concretos de infección | No |
| Completo | Todos los archivos y programas del disco, dentro de Windows en ejecución | Hay indicios de un problema o el análisis rápido no alcanza | No |
| Sin conexión | El equipo completo, desde un entorno separado fuera de Windows en ejecución | Los síntomas persisten tras un análisis completo, o se sospecha de un rootkit | Sí — es su propósito específico |
La diferencia entre el completo y el sin conexión no es solo de alcance, sino de dónde se ejecuta cada uno. El completo corre dentro de Windows en funcionamiento, así que un malware diseñado para esconderse de esos mismos procesos puede evitar ser detectado. El sin conexión resuelve ese punto ciego, y por eso es la pieza más importante del procedimiento.
Modo seguro: para aislar, no para limpiar
El Modo seguro (Safe Mode) es un modo de arranque que carga solamente el conjunto mínimo de controladores, servicios y programas necesarios para que Windows funcione. En Windows 11 se accede desde Configuración › Sistema › Recuperación › Inicio avanzado, y dentro de esa pantalla: Solucionar problemas › Opciones avanzadas › Configuración de inicio (ruta vigente a julio de 2026; Microsoft la reorganiza entre versiones).
Su utilidad es diagnóstica: si el problema que veías en el uso normal —lentitud, ventanas emergentes, procesos raros— desaparece en Modo seguro, la causa probablemente esté en algo que se activa durante un arranque normal —un programa, una extensión del navegador, un servicio— y no en el núcleo del sistema. Eso te dice dónde mirar después.
El Modo seguro no limpia la amenaza por sí mismo: sirve para aislar la causa. Podés aprovecharlo para correr un análisis con menos interferencia, pero la detección y eliminación las sigue haciendo Microsoft Defender, no el modo de arranque.
El análisis sin conexión: el paso clave
El análisis sin conexión de Microsoft Defender (Microsoft Defender Offline scan) es distinto de los otros dos en un punto central: no se ejecuta dentro de Windows mientras el sistema funciona. Al iniciarlo, el equipo se reinicia a un entorno separado y minimalista, revisa el sistema desde ahí, y recién después vuelve a arrancar Windows con normalidad.
Esa diferencia de diseño lo vuelve indispensable frente a ciertas amenazas. Un malware puede estar programado para ocultar sus archivos o procesos específicamente de las herramientas que corren dentro del mismo Windows que está infectando: si el antivirus le consulta al sistema operativo qué hay en el disco y ese sistema ya está comprometido, la respuesta puede estar manipulada. Los rootkits —programas diseñados para ocultar la presencia de un atacante y mantener acceso persistente— son el ejemplo más claro. El análisis sin conexión los enfrenta desde afuera: como Windows todavía no terminó de arrancar, no hay un sistema comprometido al que el malware pueda mentirle.
Se activa desde Seguridad de Windows › Protección antivirus y contra amenazas › Opciones de análisis › Microsoft Defender Offline scan (ruta vigente a julio de 2026). Conviene guardar el trabajo abierto antes, porque el equipo se reinicia solo y vuelve a Windows al terminar. Es más lento que un análisis rápido porque revisa el sistema completo desde un entorno reducido, así que conviene reservarlo para cuando el análisis completo no resolvió el problema, no como primer paso rutinario.
Revisar el inicio automático y el navegador
Un análisis de Microsoft Defender detecta y quita amenazas identificadas, pero no siempre deshace todo lo que instalaron: un programa que arranca solo con Windows puede seguir ahí incluso después de una limpieza correcta.
Para revisar qué arranca con Windows, abrí el Administrador de tareas (Ctrl+Shift+Esc) y entrá en la pestaña Inicio (Startup apps): ahí aparece cada programa registrado para iniciarse con el sistema. Deshabilitá lo que no reconozcas. Un atajo útil para revisar la carpeta de inicio personal, una de las formas en que un programa arranca con Windows:
Windows + R → shell:startupDespués, revisá el navegador: extensiones que no reconocés, la página de inicio y el buscador predeterminado. El malware y el software potencialmente no deseado suelen cambiar estos ajustes, y no siempre desaparecen solos con un análisis del sistema operativo. Para una revisión más general de la configuración de privacidad y seguridad del navegador, tenemos una guía dedicada sobre cómo navegar de forma segura y proteger la privacidad.
Si la detección o la eliminación siguen fallando
Puede pasar que Microsoft Defender detecte una amenaza y no logre quitarla, o que la vuelva a detectar en cada análisis. Para esos casos, Microsoft mantiene un flujo oficial de solución de problemas con pasos adicionales de diagnóstico —revisar si el archivo está en uso, si hay software de seguridad de terceros interfiriendo, o si hace falta una herramienta de eliminación específica— antes de asumir que hace falta reinstalar. Vale la pena recorrerlo completo en lugar de saltar directo a repetir un análisis rápido esperando un resultado distinto: repetir el mismo paso sin cambiar nada rara vez cambia el resultado.
Cuándo conviene reinstalar en vez de restablecer
Windows ofrece «Restablecer este PC» (Reset this PC), que reinstala el sistema reutilizando los propios archivos de recuperación que ya están en el disco. En la gran mayoría de los casos alcanza. El problema aparece cuando el comportamiento extraño persiste incluso después de un restablecimiento o del análisis sin conexión: eso indica algo más profundo, y ahí reinstalar desde medios de instalación oficiales —un pendrive o DVD creado con la herramienta de Microsoft— es más sensato, porque trae una copia completa desde una fuente externa y verificada. El NIST recomienda esto para los casos severos: cuando la infección es profunda o no se puede confirmar su erradicación completa, reinstalar desde un medio confiable es más seguro que una limpieza parcial.
Antes de reinstalar, respaldá lo que quieras conservar, idealmente siguiendo la regla de backup 3-2-1 para no perder esa copia también. Después, instalá aplicaciones solo desde fuentes de confianza: el sitio oficial de cada programa o Microsoft Store, no sitios de descarga de terceros.
Errores frecuentes
- Confiar en que «Restablecer este PC» siempre alcanza. Si el comportamiento persiste después, insistir con restablecimientos no cambia nada: hace falta reinstalar desde medios externos.
- Conformarse con un análisis rápido cuando hay indicios de persistencia. El rápido revisa solo las ubicaciones más comunes; si el problema vuelve, hace falta un completo y, si eso tampoco alcanza, uno sin conexión.
- Formatear directo, sin diagnosticar ni respaldar. Perdés información que podrías haber salvado y no sabés si vas a evitar que se repita.
- Confundir esto con un ransomware activo. Si hay archivos cifrados y una nota de rescate, el protocolo es otro: aislar la red, no pagar y restaurar desde una copia limpia.
Preguntas frecuentes
¿Cuándo conviene el análisis sin conexión en vez del análisis normal?
Conviene recurrir a él cuando ya corriste un análisis completo y el problema sigue apareciendo: el mismo síntoma vuelve después de una limpieza aparentemente exitosa, o notás procesos y comportamientos que no se explican con lo ya detectado. También si sospechás de un rootkit, un tipo de malware diseñado para ocultar su presencia y mantener acceso persistente. La razón técnica es que el análisis normal se ejecuta dentro de Windows en funcionamiento, así que un malware capaz de manipular lo que el propio sistema le informa al antivirus puede pasar desapercibido. El análisis sin conexión resuelve ese punto ciego porque reinicia el equipo a un entorno separado antes de revisarlo. No hace falta usarlo como primer paso: para un chequeo rutinario alcanza con mantener Defender actualizado. Se reserva para cuando el problema resiste a los métodos habituales.
¿El Modo seguro elimina el malware o solo ayuda a diagnosticarlo?
El Modo seguro por sí solo no elimina malware: es una herramienta de diagnóstico y aislamiento. Al arrancar con un conjunto mínimo de controladores, servicios y programas, te permite comprobar si el comportamiento extraño que veías en el uso normal sigue ocurriendo ahí también. Si desaparece, la causa está en algo que se activa durante un arranque normal —un programa, un servicio, una extensión del navegador— y no en el núcleo del sistema. Esa información te orienta sobre dónde seguir buscando, por ejemplo en la pestaña Inicio del Administrador de tareas. Podés aprovechar el Modo seguro para correr un análisis con menos interferencia de fondo, pero la eliminación efectiva la sigue haciendo Microsoft Defender, no el modo de arranque. Pensalo como el paso que te dice si el problema es superficial o profundo, no como el que lo resuelve.
¿Restablecer el PC es lo mismo que reinstalar Windows desde cero?
No, y la diferencia importa cuando hay sospecha de malware persistente. «Restablecer este PC» reinstala Windows reutilizando los archivos de recuperación que ya están en el disco: es rápido y cómodo, y en la mayoría de los casos alcanza. Reinstalar desde medios de instalación —un pendrive o DVD creado con una herramienta oficial de Microsoft— es distinto: trae una copia completa y verificada desde una fuente externa, en vez de reconstruirse a partir de archivos que estaban en un disco comprometido. Esto importa más en los casos severos, cuando el comportamiento persiste incluso después de un restablecimiento o de un análisis sin conexión: ahí no hay certeza de que los archivos de recuperación locales estén libres del problema. Para esos escenarios, el NIST recomienda reinstalar desde un medio confiable como parte de la recuperación tras un incidente de malware.
¿Cómo sé si ya no queda nada después de limpiarlo?
No hay una garantía absoluta, pero sí señales razonables. Corré un nuevo análisis completo y, si hubo indicios de persistencia, también uno sin conexión, y confirmá que ambos den limpio. Revisá de nuevo la pestaña Inicio del Administrador de tareas por si quedó algún programa agregado sin tu autorización, y el navegador —extensiones, página de inicio, buscador predeterminado—, porque son ajustes que el malware suele modificar y que un análisis del sistema no siempre revierte. Sobre todo, observá el equipo los días siguientes: si la lentitud, las ventanas emergentes o los procesos raros no vuelven, es buena señal. Mantené Windows y Defender actualizados de ahí en más. Si seguís viendo algo sospechoso, tratá el equipo como comprometido y considerá reinstalar desde medios de instalación.
¿Qué hago distinto si es un ransomware?
Si ves ransomware activo —archivos con la extensión cambiada, ilegibles, y una nota de rescate pidiendo un pago—, el protocolo es distinto y no conviene seguir estos pasos como si fuera una infección común. Lo primero es aislar el equipo de la red, desconectando el cable o el Wi-Fi, para frenar que el cifrado se propague a otros dispositivos o unidades compartidas. No se recomienda pagar: no hay garantía de recuperar los archivos, y pagar sostiene el modelo de negocio del ataque. La recuperación pasa por restaurar desde una copia limpia hecha antes del ataque, siguiendo la regla de backup 3-2-1, que exige que al menos una copia esté fuera del alcance del equipo infectado. La prioridad inmediata frente a un ransomware activo es aislar, no perder tiempo limpiando mientras sigue cifrando. Tenemos una guía específica sobre qué es un ransomware y cómo responder ante un ataque, con ese protocolo desarrollado en detalle.
¿Hay que formatear siempre?
No. Formatear o reinstalar es el último paso, no el primero, y en la mayoría de los casos ni siquiera hace falta llegar ahí. Buena parte de las infecciones se resuelven actualizando Microsoft Defender y corriendo un análisis completo; una parte de las que resisten se resuelven aislando la causa en Modo seguro y corriendo después un análisis sin conexión, que detecta lo que el análisis normal no ve. Reinstalar queda reservado para cuando el comportamiento persiste incluso después de esos pasos, o cuando el flujo oficial de solución de problemas de Microsoft tampoco resuelve una detección que se repite. Formatear de entrada, sin diagnosticar ni respaldar, es uno de los errores más comunes: hace perder información que podría haberse salvado y no deja certeza sobre qué pasó. El orden importa más que la rapidez.
Fuentes
Documentación oficial y aportes de la comunidad consultados para esta guía. Fecha de consulta: 29 de julio de 2026.
Aportes de la comunidad Underc0de
- Underc0de, foro. Malwares desde cero, por ANTRAX, 21 de marzo de 2012, sección Tutoriales y Manuales de Malwares. Antecedente histórico; se cita como origen del tema en el foro, no como referencia técnica vigente.
Documentación oficial
- Microsoft Learn. Microsoft Defender Offline scan in Windows. Por qué usar el análisis sin conexión.
- Microsoft Support. Troubleshoot problems with detecting and removing malware. Flujo oficial cuando la detección o eliminación fallan.
- Microsoft Support. Windows startup settings. Cómo acceder al Modo seguro.
- Microsoft Support. Recovery options in Windows. Diferencia entre restablecer y reinstalar.
- NIST. SP 800-83 Rev. 1 — Guide to Malware Incident Prevention and Handling. Erradicación y recuperación tras un incidente de malware.