Cómo eliminar un troyano de Windows (paso a paso)
Un troyano es malware que se disfraza de algo legítimo - un juego pirateado, un instalador falso, un «códec» que necesitabas para un vídeo. Una vez se ejecuta, puede abrir una puerta trasera, robar datos o descargar más malware. La buena noticia: la mayoría de los troyanos domésticos en Windows se pueden eliminar con herramientas integradas y gratuitas si sigues los pasos en orden. Así se hace con cuidado.
Señales de que puedes tener un troyano
- Tu PC va de repente lento, con los ventiladores a tope estando inactivo.
- Programas desconocidos arrancan al inicio, o tu firewall avisa de conexiones salientes que no hiciste.
- Las herramientas de seguridad se desactivan o no abren.
- Aparecen o desaparecen archivos, o cambian ajustes por sí solos.
Ninguna de estas señales por sí sola confirma un troyano, pero juntas indican que toca un análisis.
Paso 1 - Desconéctate de internet
Si sospechas de un troyano activo, desconecta el Wi-Fi o desenchufa el cable Ethernet. Muchos troyanos se comunican con un servidor de mando y control para recibir instrucciones o exfiltrar datos. Cortar la conexión limita el daño durante la limpieza. Reconéctate solo cuando necesites descargar herramientas o actualizaciones.
Paso 2 - Arranca en Modo seguro con funciones de red
El Modo seguro carga Windows con un conjunto mínimo de controladores y servicios, lo que a menudo impide que el malware se ejecute y facilita su eliminación.
- Abre Configuración → Sistema → Recuperación y haz clic en Reiniciar ahora bajo Inicio avanzado.
- Tras el reinicio, ve a Solucionar problemas → Opciones avanzadas → Configuración de inicio → Reiniciar.
- Cuando aparezca la lista, pulsa 5 (o F5) para Modo seguro con funciones de red.
La red permite actualizar tus escáneres; si ya lo tienes todo descargado, basta con el Modo seguro normal.
Paso 3 - Ejecuta un análisis completo de Microsoft Defender
Windows incluye Microsoft Defender Antivirus, capaz frente a troyanos comunes.
- Abre Seguridad de Windows → Protección antivirus y contra amenazas.
- Haz clic en Opciones de análisis, elige Análisis completo y ejecútalo.
- Para infecciones persistentes, usa el Análisis sin conexión de Microsoft Defender - reinicia y analiza antes de que Windows cargue del todo, atrapando malware que se oculta en ejecución.
Pon en cuarentena o elimina todo lo que detecte.
Paso 4 - Pide una segunda opinión con Malwarebytes Free
Ningún motor lo detecta todo, así que ejecuta un segundo escáner. Malwarebytes Free es un limpiador bajo demanda muy conocido, bueno para atrapar lo que los antivirus generales pasan por alto.
- Descárgalo del sitio oficial (malwarebytes.com).
- Ejecuta un análisis, revisa las detecciones y ponlas en cuarentena.
- Reinicia cuando te lo pida.
Paso 5 - Elimina programas y entradas de inicio sospechosos
Tras el análisis, busca restos:
- Aplicaciones: Ve a Configuración → Aplicaciones → Aplicaciones instaladas y desinstala lo que no reconozcas o no instalaras.
- Inicio: Abre Administrador de tareas → Aplicaciones de inicio y desactiva las entradas desconocidas que arrancan al inicio.
No borres nada de lo que no estés seguro - busca el nombre exacto primero para no desactivar un componente legítimo de Windows.
Paso 5b - Revisa los mecanismos de persistencia que los escáneres suelen dejar atrás
Este es el paso que la mayoría de las guías se salta, y es la razón por la que las infecciones vuelven una semana después. Eliminar el archivo malicioso no es lo mismo que eliminar lo que lo reinicia. Un troyano suele instalar al menos un mecanismo cuya única función es hacerlo volver.
Hay cuatro sitios que merece la pena revisar a mano, en este orden.
Tareas programadas. Abre el Programador de tareas (taskschd.msc) y recorre la Biblioteca del Programador de tareas. Busca tareas con nombres sin sentido, tareas que ejecuten un programa desde una carpeta de usuario como AppData o Temp, y tareas que se disparen cada pocos minutos. El software legítimo también programa tareas, así que lee la pestaña Acciones para ver exactamente qué lanza una tarea antes de tocarla.
Servicios. Abre services.msc y ordena por nombre. Un servicio que apunte a un ejecutable fuera de C:\Windows o C:\Program Files merece un segundo vistazo. Anota el nombre y búscalo antes de desactivar nada, porque el propio Windows ejecuta muchísimos servicios con nombres poco claros.
Claves Run del registro. En regedit, revisa HKCU\Software\Microsoft\Windows\CurrentVersion\Run y su equivalente en HKLM. Estas lanzan un programa en cada inicio de sesión. Exporta la clave antes de borrar nada, para poder restaurarla si eliminas la entrada equivocada.
Extensiones del navegador. Un troyano que haya recolectado tus cookies de sesión suele instalar una extensión para seguir leyendo el tráfico. Revisa la lista de extensiones en todos los navegadores que uses, no solo en el principal.
Si algo de esto queda fuera de tu nivel de comodidad, párate aquí y ve a la sección de reinstalación limpia. Borrar el servicio o la clave del registro equivocados puede dejar Windows sin poder arrancar, un resultado peor que el troyano.
Paso 6 - Reinicia, reconéctate y vuelve a analizar
Reinicia en modo normal, reconéctate a internet, instala las últimas actualizaciones de Windows y ejecuta un análisis completo más con Defender. Un resultado limpio en un análisis nuevo tras reiniciar es tu confirmación de que el troyano ha desaparecido.
Paso 7 - Asegura tus cuentas
Los troyanos roban con frecuencia contraseñas guardadas y cookies de sesión. Una vez verificado que el PC está limpio:
- Cambia las contraseñas de tus cuentas importantes (el correo primero - es el centro de recuperación de todo lo demás) desde un dispositivo de confianza.
- Activa la autenticación de dos factores en todo lo que la ofrezca.
- Revisa tu correo: ninguna regla ni reenvío añadido por el atacante.
Un gestor de contraseñas hace mucho menos doloroso renovar decenas de credenciales, y usar uno significa que no reutilizas la misma contraseña en varios sitios.
Cómo saber si de verdad ha desaparecido
«El análisis salió limpio» es una prueba más débil de lo que parece, porque un escáner solo encuentra lo que reconoce. Merece la pena hacer tres comprobaciones unos días después.
Vigila las conexiones salientes. Cierra el navegador y todo lo que puedas, y luego ejecuta netstat -bn en un símbolo del sistema con permisos de administrador. Busca un proceso que no reconozcas manteniendo una conexión abierta. Una máquina realmente inactiva debería estar casi en silencio.
Vuelve a revisar los puntos de persistencia. Repasa las tareas programadas y las claves Run del Paso 5b. Si una entrada que borraste ha reaparecido, algo en la máquina la ha vuelto a poner y la infección sigue activa.
Vigila las cuentas, no solo el PC. Avisos de inicio de sesión desde lugares desconocidos, reglas de correo que no creaste o correos de restablecimiento de contraseña que no pediste son señales de que las credenciales robadas antes de la limpieza se siguen usando. Ese daño vive en servidores, no en tu disco, y ningún análisis local lo mostrará.
Por qué a veces falla la limpieza
Unos pocos errores explican la mayoría de los casos en que un troyano vuelve enseguida.
Reconectarse demasiado pronto. Si vuelves a estar en línea antes de terminar la limpieza, un troyano activo puede sencillamente descargar una copia nueva de sí mismo.
Analizar solo en modo normal. Parte del malware protege sus propios archivos mientras Windows funciona con normalidad. Para eso están exactamente el Modo seguro y el Análisis sin conexión de Defender.
Restaurar la infección desde una copia de seguridad. Si tu copia se hizo después de que empezara la infección, restaurarla restaura el troyano. Restaura documentos sueltos en lugar de una imagen completa del sistema cuando puedas, y analízalos.
Cambiar las contraseñas desde la máquina infectada. Si un registrador de teclas sigue activo, acabas de entregar también las contraseñas nuevas. Usa un móvil u otro ordenador.
Pararse en el primer análisis limpio. Ejecuta un segundo análisis completo tras reiniciar, con un motor distinto si es posible.
Cuándo plantearse una reinstalación limpia
Si los análisis siguen encontrando la misma amenaza, las herramientas de seguridad no se ejecutan, o sospechas de un troyano a nivel de rootkit, lo más seguro es respaldar tus archivos personales (no los programas) y luego reinstalar Windows desde un soporte oficial. Es más trabajo, pero garantiza empezar de cero cuando las herramientas de eliminación no logran expulsar del todo la infección.
Sigue los pasos en orden - desconectar, Modo seguro, analizar dos veces, limpiar, volver a analizar, asegurar cuentas - y la mayoría de los troyanos se quitan sin una reinstalación completa.
Lecturas relacionadas: Eliminar Brontok · 292 repositorios falsos de GitHub distribuyen un infostealer