Cómo saber si tu PC tiene un virus: procesos de Windows que debes conocer

Abrir el Administrador de tareas de Windows y encontrarse con decenas de procesos desconocidos es completamente normal. Algunos tienen nombres bastante claros, pero otros parecen una mezcla de siglas, números y términos técnicos que, a primera vista, pueden resultar sospechosos.

Además, muchos de ellos permanecen ejecutándose en segundo plano y consumen memoria RAM, CPU o incluso recursos de red, lo que puede llevarnos rápidamente a pensar que tenemos algún virus instalado.

Sin embargo, que no reconozcamos un proceso no significa que sea malicioso.

Windows, los controladores de hardware, las aplicaciones instaladas e incluso algunos periféricos utilizan servicios que se ejecutan constantemente en segundo plano. La cuestión está en saber distinguir un proceso legítimo de otro que realmente merece nuestra atención.

Para empezar, podemos abrir el Administrador de tareas mediante Ctrl + Shift + Esc, que es el acceso más rápido, o utilizar Ctrl + Alt + Supr y seleccionar posteriormente Administrador de tareas.

A partir de ahí, si encontramos un proceso que no reconocemos, conviene analizarlo siguiendo varios pasos antes de eliminar nada.

1. Comprueba dónde está ubicado el archivo

Una de las primeras cosas que podemos hacer es localizar físicamente el ejecutable asociado al proceso.

Desde el Administrador de tareas, haz clic con el botón derecho sobre el proceso sospechoso y selecciona Abrir ubicación del archivo. Windows abrirá automáticamente la carpeta donde se encuentra almacenado.

Esta información puede darnos una primera pista bastante útil.

Los procesos propios del sistema suelen encontrarse en directorios como C:\Windows\System32 o en otras carpetas internas de Windows, mientras que los programas que instalamos normalmente aparecen dentro de C:\Program Files, C:\Program Files (x86) o determinadas carpetas del perfil de usuario.

Ahora bien, hay que evitar una conclusión demasiado rápida: que un archivo esté dentro de System32 no demuestra por sí solo que sea seguro.

El malware también puede intentar ocultarse utilizando nombres similares a procesos legítimos o ubicándose en carpetas donde esperamos encontrar archivos del sistema. La ubicación es una pista, no una prueba definitiva.

De hecho, muchas amenazas intentan precisamente aprovechar esa confianza. Un archivo puede llamarse de forma muy parecida a otro legítimo y pasar desapercibido durante bastante tiempo si no nos fijamos en los detalles.

2. Revisa el fabricante y la firma digital

El siguiente paso consiste en revisar quién ha creado el archivo.

Haz clic derecho sobre el ejecutable, entra en Propiedades y abre la pestaña Detalles. Allí normalmente encontrarás información como el nombre del producto, la versión, la descripción del archivo o el copyright.

Si aparece una empresa conocida —Microsoft, Intel, AMD, NVIDIA, Realtek o cualquier otro fabricante relacionado con el hardware o software instalado— es una buena señal, aunque tampoco deberíamos quedarnos únicamente con el nombre mostrado.

Lo realmente interesante se encuentra en la pestaña Firmas digitales, siempre que esté disponible.

Una firma digital permite comprobar que el archivo ha sido firmado por una empresa determinada y que, en principio, no ha sido modificado después de esa firma.

Por ejemplo, si estamos investigando un proceso relacionado con los controladores gráficos de Intel y encontramos una firma válida perteneciente a Intel Corporation, la probabilidad de que estemos ante un archivo legítimo aumenta considerablemente.

Conviene abrir también los detalles de la firma y comprobar que Windows indique que es válida.

Aquí encontramos una diferencia importante: cualquiera podría crear un archivo llamado IntelService.exe, pero falsificar correctamente una firma digital válida de Intel es una cuestión muy distinta.

3. Busca el nombre exacto del proceso

Si todavía tenemos dudas, Internet puede aportar bastante contexto.

Desde el propio Administrador de tareas, algunas versiones de Windows permiten utilizar la opción Buscar en línea, aunque también podemos copiar directamente el nombre completo del ejecutable y realizar una búsqueda manual.

Lo importante es buscar el nombre exacto, incluida su extensión cuando sea posible.

Aquí merece la pena prestar atención a un pequeño detalle: los nombres de archivos maliciosos suelen imitar los de procesos legítimos.

Por ejemplo, svchost.exe es un proceso habitual de Windows, pero un malware podría utilizar un nombre parecido como svch0st.exe, sustituyendo una letra por un número, o ejecutar un archivo con el nombre correcto desde una ubicación completamente anómala.

Por eso no deberíamos limitarnos a leer el primer resultado que aparece en Google o Bing. Lo recomendable es contrastar varias fuentes y, siempre que sea posible, consultar documentación del propio fabricante.

Si el archivo pertenece a un controlador de Intel, NVIDIA, AMD o Microsoft, normalmente encontraremos referencias consistentes que expliquen para qué sirve.

4. Analiza el archivo con VirusTotal

Cuando todavía quedan dudas, VirusTotal es una de las herramientas más útiles para realizar una comprobación adicional.

El funcionamiento es sencillo: podemos seleccionar el archivo ejecutable sospechoso y subirlo a la plataforma para que sea analizado mediante numerosos motores de detección.

Esto nos proporciona una visión mucho más amplia que confiar únicamente en un antivirus.

Sin embargo, hay un matiz importante. VirusTotal no debe interpretarse como una especie de juez infalible que ofrece un simple resultado de “virus” o “no virus”.

Los falsos positivos existen.

Si un único motor de seguridad marca un archivo como sospechoso mientras decenas de ellos lo consideran limpio, no significa necesariamente que exista una infección. En cambio, si numerosos motores coinciden en detectar una amenaza concreta, entonces sí tenemos motivos bastante más sólidos para desconfiar.

También resulta útil consultar otra información que muestra la plataforma, como el nombre del archivo, su hash, firmas, comportamiento detectado o cuándo fue analizado por primera vez.

Y hay otra precaución que no debería pasarse por alto: no subas a VirusTotal documentos personales o archivos que contengan información privada o confidencial. Para analizar procesos de Windows o ejecutables comunes no suele ser un problema, pero no es una plataforma pensada para almacenar documentos sensibles.

El consumo de RAM no indica que exista un virus

Otro error bastante frecuente consiste en juzgar un proceso únicamente por la cantidad de memoria que está utilizando.

Un proceso que consume 200 MB de RAM puede ser completamente legítimo, mientras que un malware relativamente sencillo podría consumir apenas unos pocos megabytes.

Por tanto, el consumo de memoria debería servirnos para detectar comportamientos extraños, pero no para determinar por sí solo si algo es malicioso.

Lo mismo ocurre con el uso de CPU.

Si un proceso desconocido mantiene constantemente un 70 % u 80 % de utilización del procesador sin una explicación aparente, merece la pena investigarlo, especialmente si también genera tráfico de red o vuelve a ejecutarse después de cerrarlo.

Pero incluso en esos casos existen explicaciones legítimas: Windows Update, un antivirus realizando un análisis, un programa indexando archivos o una aplicación sincronizando información en la nube pueden generar picos importantes de actividad.

No finalices procesos al azar

Cuando encontramos un proceso desconocido, una reacción bastante habitual es pulsar directamente Finalizar tarea.

No siempre es una buena idea.

Algunos procesos son esenciales para Windows y cerrarlos puede provocar que determinadas funciones dejen de responder, que desaparezca temporalmente el escritorio o incluso que el sistema se reinicie.

Antes de finalizar cualquier tarea, conviene averiguar qué función cumple y qué programa la ha iniciado.

En muchas ocasiones descubriremos que ese proceso aparentemente extraño pertenece simplemente al controlador de audio, al software de la tarjeta gráfica, a una utilidad del fabricante de la placa base o a algún programa que instalamos meses atrás y habíamos olvidado por completo.

¿Qué señales deberían preocuparnos realmente?

Un único detalle rara vez demuestra que exista malware. Lo que debería llamar nuestra atención es la combinación de varios comportamientos sospechosos.

Por ejemplo, un proceso con un nombre extraño, sin firma digital, ubicado dentro de una carpeta temporal, que consume recursos constantemente y vuelve a aparecer después de cerrarlo merece bastante más investigación que un ejecutable firmado por Microsoft situado en una carpeta normal del sistema.

También debemos desconfiar si Windows Defender empieza a mostrar alertas, aparecen programas que no hemos instalado, el navegador cambia de configuración sin permiso o el ordenador comienza a realizar conexiones de red inesperadas.

En esas circunstancias ya no estamos simplemente investigando un nombre desconocido del Administrador de tareas, sino un posible problema de seguridad.

Investigar antes de borrar

Encontrar procesos desconocidos en Windows es normal y, en la inmensa mayoría de los casos, no significa que tengamos un virus.

La forma correcta de comprobarlo consiste en reunir varias pistas: revisar dónde está ubicado el ejecutable, comprobar quién lo ha firmado, buscar información sobre el proceso y, si todavía existen dudas, analizarlo con herramientas como VirusTotal o con la propia seguridad integrada de Windows.

Lo importante es no confiar en una única señal.

Un archivo no es seguro simplemente porque esté en System32, del mismo modo que tampoco es malicioso porque tenga un nombre extraño o consuma memoria RAM.

En seguridad informática, casi siempre funciona mejor observar el contexto completo.

Y, sobre todo, antes de borrar archivos o finalizar procesos que no conocemos, merece la pena dedicar unos minutos a averiguar qué estamos tocando. Muchas veces ese proceso misterioso no es más que un componente perfectamente legítimo haciendo silenciosamente su trabajo en segundo plano.