Virus, malware, troyano, gusano y spyware: diferencias

Malware es el término general y virus es uno de los tipos que existen dentro de esa categoría: la relación es la de un todo con una de sus partes, no la de dos sinónimos. Según el glosario del NIST, malware es cualquier hardware, firmware o software insertado intencionalmente en un sistema con un propósito dañino, sin que la víctima lo sepa ni lo autorice. Bajo ese paraguas conviven el virus, el gusano, el troyano, el spyware, el ransomware, el rootkit y el adware, y cada uno se define por su mecanismo de propagación y su propósito, no por cuánto daño causa. Un virus, en concreto, se adjunta a un archivo anfitrión, se copia dentro de otros archivos cuando ese anfitrión se ejecuta, y necesita que la persona usuaria haga algo —como abrir el archivo infectado— para activarse. El uso impreciso de «virus» como sinónimo de cualquier infección complica el diagnóstico: si se busca «el virus» sin saber si en realidad hay un gusano que se propaga solo por la red o un spyware que roba datos en silencio, se puede aplicar la limpieza equivocada o subestimar el riesgo real. Por eso conviene reservar «malware» para la categoría general y usar el nombre del tipo específico —virus, gusano, troyano, spyware, ransomware, rootkit o adware— cuando se conoce cuál es el mecanismo involucrado.

No, y esa es una confusión frecuente: un troyano, por definición, no se autorreplica, mientras que autorreplicarse sin ayuda de nadie es justamente lo que caracteriza a un gusano. El nombre «troyano» viene del caballo de Troya: es un programa que se presenta como algo útil para conseguir que la propia víctima lo instale, y una vez adentro despliega una función oculta y dañina que nada tiene que ver con lo que prometía. Como no se autorreplica, cada nueva víctima tiene que ser engañada de forma individual, a diferencia del gusano, que una vez que entra a una red puede saltar solo a otros equipos vulnerables sin que nadie haga clic en nada. La confusión suele surgir porque un troyano puede, como parte de su función oculta, descargar o instalar otro malware —incluido un gusano o un ransomware— y entonces parece que «se multiplicó», cuando en realidad actuó como puerta de entrada para una pieza distinta, con su propio mecanismo. La propiedad que define al troyano en el glosario del NIST sigue siendo esa: no se autorreplica y depende del engaño y de la acción de la persona usuaria para instalarse, algo estructuralmente distinto de la autopropagación de un gusano.

El ransomware es un tipo de malware definido por su propósito —cifrar archivos o bloquear el acceso a un sistema para exigir un rescate, según describe CISA (la Agencia de Ciberseguridad y de Infraestructura de Estados Unidos)—, y en la práctica suele entregarse con el mecanismo de un troyano, aunque también puede llegar por otras vías. Conviene pensarlo en dos capas que no compiten: el mecanismo de entrega, que muchas veces es el de un troyano porque la víctima ejecuta algo que parece legítimo, y el propósito final, exclusivo del ransomware, que es cifrar los datos, mostrar una nota de rescate y condicionar la recuperación al pago. Por eso NIST y CISA lo tratan como su propia categoría, con documentación e indicadores específicos, en lugar de listarlo como una simple variante de troyano. Esto tiene una consecuencia práctica: si el síntoma es que los archivos aparecen cifrados con una nota exigiendo un pago, no corresponde el protocolo de limpieza general de malware de esta guía, sino el de respuesta a incidentes de ransomware, que incluye aislar el equipo de la red de inmediato, no pagar el rescate, y restaurar desde una copia de seguridad verificada. La guía de Underc0de sobre qué es un ransomware y cómo responder ante un ataque desarrolla ese protocolo, incluida la importancia de respaldar siguiendo la regla 3-2-1.

No necesariamente, y esa es una diferencia real con el resto de los tipos de esta guía: CISA describe el adware como software que muestra publicidad no deseada o redirige búsquedas, pero aclara que no siempre es dañino en sí mismo, a diferencia de un virus, un troyano o un spyware, cuyo propósito siempre es perjudicial. Buena parte del adware entra en una zona intermedia que suele llamarse software potencialmente no deseado: se instala junto con un programa gratuito que la persona sí quería, y su efecto principal es molesto e invasivo —ventanas emergentes, cambios en la página de inicio— más que destructivo. Eso no significa que sea inofensivo por definición: existen variantes que además recolectan datos sin autorización clara, degradan el rendimiento del equipo, resisten la desinstalación, o sirven de puerta de entrada para malware adicional. La forma más simple de trazar la línea es preguntarse cuál es el propósito predominante: si solo muestra anuncios de forma molesta pero transparente, se trata como software potencialmente no deseado; si además oculta su instalación o dificulta que se lo elimine, ya se comporta como malware pleno y conviene tratarlo con la seriedad de un spyware.

Porque cada fabricante de antivirus tiene su propia convención interna para nombrar las muestras que detecta, basada en el comportamiento que observa o en la familia de código de la que sospecha que proviene, y no existe una autoridad central que asigne un nombre único a cada pieza de malware, como sí ocurre con las vulnerabilidades y su identificador CVE. MITRE ATT&CK ilustra por qué pasa esto: en vez de organizar su catálogo alrededor de nombres de familia fijos, lo describe en términos de las técnicas que ejecuta —cómo logra persistencia, cómo escala privilegios, cómo se comunica con su operador— y una misma muestra puede compartir técnicas con familias completamente distintas. A eso se suma que el malware se reempaqueta constantemente para evadir la detección, así que cada fabricante puede estar viendo una variante ligeramente distinta del mismo código base y decidir que merece un nombre propio. El resultado: subir un archivo sospechoso a un servicio que lo analiza con varios motores a la vez y encontrar una lista de nombres distintos para lo que, en el fondo, es la misma amenaza. No es un error de ninguno de los antivirus: es consecuencia de clasificar por comportamiento y no por una etiqueta única.

No, aunque los dos operan de forma encubierta y eso lleva a confundirlos: la diferencia está en su propósito, que en el spyware es recolectar información y en el rootkit es ocultar la presencia de quien atacó el sistema y sostener el acceso en el tiempo. El spyware, según el NIST, es software que reúne información sobre una persona u organización sin su conocimiento adecuado, y puede enviarla a otra entidad sin consentimiento; su objetivo es la vigilancia y la extracción de datos, como credenciales o hábitos de navegación. El rootkit, en cambio, es un conjunto de herramientas que un intruso usa después de obtener acceso de administrador, con el fin de ocultar su presencia y conservar ese acceso privilegiado el mayor tiempo posible, típicamente interviniendo componentes de bajo nivel del sistema operativo. En la práctica suelen aparecer combinados: es común que un rootkit se instale precisamente para blindar y esconder a un spyware. Pero como categorías son distintas: el spyware se define por qué hace —vigilar y extraer información—, y el rootkit por cómo lo hace —ocultándose a nivel profundo del sistema—, la misma lógica de propósito y mecanismo que organiza toda esta taxonomía.