Cómo eliminar malware de Android (8 pasos, restablecimiento de fábrica al final)

Respuesta rápida: la mayoría del malware de Android se elimina sin restablecimiento de fábrica. Reinicia en Modo seguro para que las apps de terceros dejen de ejecutarse, localiza la app que llegó cuando empezaron los problemas, quítale los permisos que le permiten resistirse a la eliminación (administrador del dispositivo, Accesibilidad, mostrar sobre otras aplicaciones), desinstálala, limpia el navegador y después ejecuta Google Play Protect y un escáner de confianza de Play Store. Cambia las contraseñas que escribiste mientras estaba activo. Deja el restablecimiento de fábrica para el final, y lee la nota sobre los teléfonos baratos cuyo malware viene en el firmware antes de confiar en él.

El malware de Android raramente es un “virus” espectacular. La mayor parte son adware, apps de utilidades falsas y SDK publicitarios agresivos que llegan a través de apps instaladas fuera de Play Store, APK pirateados o un enlace en un SMS. La minoría más peligrosa son los troyanos bancarios, que piden el permiso de Accesibilidad para poder leer tu pantalla y escribir por ti. Ambos tipos se eliminan de la misma manera, porque Android te da dos herramientas que un PC no tiene: un modo de arranque que desactiva todas las apps que instalaste, y pantallas de permisos que muestran exactamente qué se le permitió hacer a cada app.

Triaje en 60 segundos: ¿en qué caso estás?

Señales de que tu Android puede estar infectado

• Aparecen anuncios emergentes fuera de cualquier app, en la pantalla de inicio o de bloqueo, o se abren anuncios a pantalla completa sin un origen evidente.
• El navegador redirige constantemente a páginas que no pediste, o tu página de inicio o tu buscador cambiaron solos.
• La batería se agota y el consumo de datos móviles se dispara sin que hayas cambiado la forma de usar el teléfono.
• Aparecen en el cajón de aplicaciones apps que no recuerdas haber instalado, a veces con iconos en blanco o genéricos.
• Una app pidió acceso de Accesibilidad o convertirse en administrador del dispositivo justo después de instalarla.
• Tu banco o Google te envían códigos de inicio de sesión o alertas de “nuevo inicio de sesión” que no provocaste, o salen de tu teléfono SMS que nunca escribiste.
• Una app reaparece una y otra vez después de borrarla.

Cualquiera de estas señales por separado puede ser inofensiva. Varias juntas suelen indicar que hay adware o una app maliciosa en ejecución. Si tus síntomas son sobre todo la batería y el calentamiento, lee primero ¿Me han hackeado el móvil?, porque esos dos son los menos concluyentes de toda la lista.

Paso 1 - Reiniciar en Modo seguro

El Modo seguro arranca Android con solo las apps que venían con el teléfono. Todo lo que instalaste queda desactivado temporalmente, así que el malware no puede bloquear la app de Ajustes, dibujar su pantalla encima ni reinstalarse mientras trabajas.

1. Mantén pulsado el botón de encendido (en los Samsung y Pixel recientes, pulsa encendido + bajar volumen a la vez, porque una pulsación corta del botón de encendido por sí sola abre el asistente).
2. Toca y mantén pulsado “Apagar” hasta que aparezca el aviso “Reiniciar en modo seguro”, y confirma.
3. El teléfono se reinicia con “Modo seguro” mostrado en una esquina de la pantalla.

Si los pop-ups y la lentitud desaparecen en Modo seguro, la causa es casi con toda seguridad una app descargada. El Modo seguro no borra nada: cuando termines, un reinicio normal devuelve todas las apps, y por eso conviene desinstalar la culpable antes de salir de él.

Paso 2 - Localizar la app responsable

Adivinar es perder el tiempo. Android guarda tres listas que señalan a la culpable.

• Instaladas recientemente. Abre Ajustes → Aplicaciones → Ver todas las aplicaciones. En la mayoría de teléfonos, el menú de tres puntos (⋮) permite ordenar o filtrar por fecha de instalación. Todo lo instalado en los días anteriores al inicio de los problemas pasa al primer puesto de tu lista de sospechosas.
• Batería y datos. Ajustes → Batería → Uso de la batería y Ajustes → Internet y redes (Samsung: Conexiones) → Uso de datos clasifican las apps por consumo. Una app que nunca abres y que aparece cerca de la cima es una señal muy clara.
• Quién tiene permiso para instalar apps. Ajustes → Aplicaciones → Acceso especial de aplicaciones → Instalar aplicaciones desconocidas enumera todas las apps a las que alguna vez permitiste instalar otras apps. Un gestor de archivos, una app de mensajería o un “descargador” con ese interruptor activado es la vía por la que entró el malware, y puede instalar la siguiente carga. Desactiva el interruptor para todo lo que no lo necesite estrictamente.

Las apps falsas de “limpiador”, “ahorro de batería”, “escáner QR”, “linterna”, “actualización del sistema” y “actualización de Chrome” son los disfraces habituales. Si no estás seguro de un nombre, búscalo desde otro dispositivo antes de eliminarla.

Paso 3 - Desinstalar las apps sospechosas

Todavía en Modo seguro, abre Ajustes → Aplicaciones, toca la app sospechosa y luego Desinstalar. Recorre tu lista de sospechosas una app a la vez. Si el botón Desinstalar está en gris o la app reaparece, pasa al Paso 4; para eso existe.

Paso 4 - ¿No se deja desinstalar? Quítale los permisos detrás de los que se esconde

El malware sobrevive a la eliminación reteniendo uno o varios de cuatro permisos. Retíraselos en este orden, luego vuelve a Ajustes → Aplicaciones y desinstala.

1. Administrador del dispositivo. Abre Ajustes y busca Aplicaciones de administración del dispositivo (a menudo en Seguridad → Más ajustes de seguridad). Desactiva el interruptor junto a la app sospechosa. Este es el truco clásico que deja en gris el botón Desinstalar.
2. Accesibilidad. Abre Ajustes → Accesibilidad y mira en Aplicaciones descargadas (Samsung: Aplicaciones instaladas). Una app con un servicio de Accesibilidad activado puede leer todo lo que hay en tu pantalla, pulsar botones y rellenar campos, que es exactamente como troyanos bancarios como Rokarolla burlan la app de tu banco. Desactiva todos los servicios que no reconozcas.
3. Mostrar sobre otras aplicaciones. Ajustes → Aplicaciones → Acceso especial de aplicaciones → Mostrar sobre otras aplicaciones. Esto es lo que permite que una pantalla de inicio de sesión falsa aparezca encima de la real. Revócalo para todo lo que no hayas concedido a sabiendas.
4. Acceso a notificaciones. Ajustes → Aplicaciones → Acceso especial de aplicaciones → Acceso a notificaciones (o Notificaciones de dispositivos y aplicaciones). Una app que esté aquí puede leer tus códigos de verificación por SMS en cuanto llegan. Desactiva las entradas desconocidas.

Desde Android 13, las apps instaladas desde fuera de una tienda de aplicaciones tienen bloqueado el acceso a las pantallas de Accesibilidad y de acceso a notificaciones gracias a una función llamada Ajustes restringidos: los interruptores simplemente aparecen en gris hasta que abres la página de información de la app y eliges “Permitir ajustes restringidos” en su menú. Por eso el malware te guía con instrucciones en pantalla para que hagas exactamente eso. Si recuerdas haber seguido instrucciones de ese tipo, ya has encontrado tu app.

Paso 5 - Limpiar el navegador

El adware vive a menudo en el navegador y no en una app aparte, y un sitio web en el que una vez tocaste “Permitir” puede inundarte de notificaciones que parecen alertas del sistema. En Chrome (o en el navegador que uses):

• Abre Ajustes → Configuración de sitios → Notificaciones y bloquea todos los sitios que no reconozcas. Esta única pantalla soluciona la mayoría de los pop-ups de “aviso de virus” en Android.
• Borra la caché y las cookies (Ajustes → Privacidad y seguridad → Borrar datos de navegación).
• Restablece tu página de inicio y tu buscador predeterminado si cambiaron.
• Revisa Ajustes → Aplicaciones → Aplicaciones predeterminadas → Aplicación de navegador: el adware a veces instala su propio navegador y lo configura como predeterminado, de modo que los enlaces se abren ahí.

Paso 6 - Ejecutar Google Play Protect y un escáner de confianza

Reinicia con normalidad y deja que el escáner integrado de Android haga una pasada:

1. Abre Google Play Store, toca tu icono de perfil y elige Play Protect.
2. Toca Analizar. Play Protect revisa las apps instaladas, incluidas las instaladas fuera de la tienda, y ofrece desactivar o eliminar las que marque. Activa “Analizar aplicaciones con Play Protect” y “Mejorar la detección de aplicaciones dañinas” para que también envíe a Google las apps desconocidas instaladas fuera de la tienda y las analice. En los Pixel con Android 15 o posterior, la detección de amenazas en tiempo real de Play Protect también vigila cómo se comportan las apps instaladas, no solo lo que contienen.

Para una segunda opinión, instala una app antimalware conocida solo desde Play Store, como Malwarebytes o Bitdefender, ejecuta un análisis completo y elimina lo que marque. Quédate con nombres que ya conozcas: una búsqueda de “antivirus” en cualquier tienda de apps devuelve decenas de apps que son adware en sí mismas.

Paso 7 - Proteger las cuentas a las que el malware pudo llegar

Eliminar la app no deshace lo que vio. Haz esto desde el teléfono ya limpio o, mejor, desde un ordenador:

• Cambia la contraseña de tu cuenta de Google y ejecuta la Revisión de seguridad de Google: cierra sesión en los dispositivos desconocidos, elimina las apps de terceros que no reconozcas en “Acceso de terceros” y comprueba que el teléfono y el correo de recuperación son tuyos.
• Cambia todas las contraseñas que escribiste en el teléfono mientras el malware estaba activo, empezando por la banca, el correo y cualquier cuenta que reciba códigos por SMS. Activa la verificación en dos pasos con una app de autenticación en lugar de SMS siempre que el servicio lo permita.
• Revisa tu banco. Si una app bancaria se comportó de forma extraña o recibiste códigos de verificación que no pediste, llama al banco, revisa los movimientos recientes y pregunta si se registró un nuevo dispositivo o un nuevo beneficiario.
• Mira el reenvío de mensajes. En tu app de SMS y en tu cuenta de correo, comprueba que no se haya añadido ninguna regla de reenvío ni ningún dispositivo vinculado. El reenvío sobrevive a cualquier limpieza del teléfono, y por eso es donde lo colocan los atacantes persistentes.

Paso 8 - Último recurso: copia de seguridad y restablecimiento de fábrica

Si los pop-ups siguen volviendo, una app se reinstala sola o los análisis siguen marcando la misma amenaza, un restablecimiento de fábrica devuelve el teléfono a un estado limpio.

• Primero haz una copia de seguridad de fotos, contactos y archivos importantes en tu cuenta de Google o en un ordenador. No restaures una copia que incluya la app infectada.
• Después ve a Ajustes → Sistema → Opciones de recuperación → Borrar todos los datos (volver al estado de fábrica) (Samsung: Ajustes → Administración general → Restablecer → Restablecer valores de fábrica).
• Al configurar de nuevo el teléfono, reinstala las apps una a una desde Play Store. Omite la opción de “restaurar todas las apps”, que traería el malware de vuelta directamente.

Una advertencia honesta. Un restablecimiento de fábrica borra la partición de datos, no la partición del sistema. En algunos teléfonos Android baratos y sin marca, y en algunos TV box, se ha encontrado malware preinstalado en el propio firmware; el equipo de seguridad de Google documentó a la familia Triada haciendo exactamente eso en 2019. Una infección así vuelve tras el restablecimiento porque el restablecimiento nunca la tocó. Si un teléfono muestra los mismos síntomas inmediatamente después de un restablecimiento limpio y sin ninguna app instalada, la solución es una actualización de firmware del fabricante o, siendo realistas, otro teléfono.

Cómo evitar que vuelva

Preguntas frecuentes

¿Necesita Android una app antivirus? No necesariamente. Google Play Protect viene integrado y analiza las apps automáticamente. Un escáner bajo demanda de confianza de Play Store es una segunda opinión útil si instalas apps fuera de la tienda o ya sospechas de una infección. Lee ¿necesito un antivirus? para la respuesta larga.

¿El Modo seguro borra algo? No. El Modo seguro solo impide que las apps de terceros se ejecuten durante esa sesión. Tus apps y tus datos quedan intactos, y un reinicio normal lo devuelve todo, incluido el malware si no lo desinstalaste.

¿Cómo sé qué app está causando los pop-ups? Comprueba qué se instaló justo antes de que empezaran los problemas, qué apps encabezan las listas de consumo de batería y de datos, y qué apps tienen derechos de Accesibilidad o de mostrar sobre otras aplicaciones. Una app que aparece en dos de esas listas y que no recuerdas haber instalado es tu culpable.

¿Un restablecimiento de fábrica elimina todo el malware? Un restablecimiento de fábrica elimina todas las apps y todos los datos que instalaste, lo que borra la gran mayoría del malware de Android. Las excepciones son el malware preinstalado en el firmware de algunos dispositivos baratos, y el malware que tú mismo traes de vuelta al restaurar una copia de seguridad completa de las apps. Reinstala las apps una a una desde Play Store.

¿Puedo infectarme solo por visitar un sitio web? Un sitio web no puede instalar una app en silencio en un Android actualizado, pero sí puede mostrar falsos pop-ups de “tu teléfono está infectado”, enviar notificaciones disfrazadas de alertas del sistema o engañarte para que descargues un APK. No instales nada que una página web te empuje a descargar, y bloquea las notificaciones de ese sitio en tu navegador.

¿Por qué el botón Desinstalar está en gris? A la app se le han concedido derechos de administrador del dispositivo. Revócalos en Ajustes → Aplicaciones de administración del dispositivo y luego desinstálala con normalidad. Si el propio interruptor se resiste, hazlo desde el Modo seguro.

Lecturas relacionadas: Rokarolla · ¿Me han hackeado el móvil? Las señales que importan y las que no · Eliminar un virus del iPhone