Malware sin archivos: la amenaza que tu antivirus tradicional no ve

Durante años, un antivirus funcionaba como un portero con una lista de fotos: comparaba cada fichero con una base de datos de amenazas conocidas y bloqueaba lo que reconocía. Funcionaba porque el malware era un archivo que se descargaba y ejecutaba. El problema es que los atacantes han cambiado de método, y buena parte de las amenazas de hoy ya no dejan un fichero que reconocer.

Qué es el malware "sin archivos"

El malware fileless no instala un programa en el disco. Se ejecuta directamente en la memoria y abusa de herramientas legítimas que ya vienen con tu sistema operativo —las mismas que usan los administradores— para moverse, robar información o mantener el acceso. Al no haber un fichero sospechoso, el antivirus tradicional no tiene nada que comparar con su lista.

Por qué es tan difícil de detectar

El ataque se disfraza de actividad normal. Un comando que un administrador usa a diario puede ser exactamente el que el atacante emplea para avanzar. La diferencia no está en la herramienta, sino en el comportamiento: a qué hora se usa, desde qué cuenta, en qué secuencia, contra qué equipos. Detectarlo exige mirar patrones, no ficheros.

Cómo suele empezar

El punto de entrada rara vez es sofisticado: un documento con una macro, un correo de phishing, unas credenciales robadas. A partir de ahí, el atacante prefiere no "instalar" nada y vivir de lo que ya hay en el sistema para pasar desapercibido el mayor tiempo posible. Cuanto más tiempo invisible, más daño.

La defensa: vigilar el comportamiento

Frente a esto, la pregunta ya no es "¿este fichero es malo?", sino "¿este comportamiento es normal?". Detectar un uso anómalo de herramientas del sistema, accesos fuera de horario o secuencias de acciones que no encajan es lo que permite pillar un ataque que no deja rastro en el disco. Eso requiere monitorización continua y análisis del comportamiento, no una firma en una base de datos.

Qué implica para tu pyme

No significa que el antivirus sobre —sigue parando mucho ruido—, sino que solo con antivirus ya no basta. La vigilancia del comportamiento de tus equipos es la capa que ve lo que el antivirus, por diseño, no puede ver.