Qué es un rootkit, por qué es tan difícil de detectar y cómo eliminarlo

Un rootkit es un tipo de malware diseñado para infectar una computadora e instalar herramientas que dan acceso remoto a ella; se oculta dentro del sistema operativo y esquiva obstáculos como las aplicaciones antimalware. Así lo describe la guía de ciberseguridad que publicó la SCT en 2020, que lo cuenta entre las amenazas de malware más comunes, junto con virus, gusanos, troyanos y spyware. Puede incluir un módulo para robar números de tarjeta o de cuentas bancarias y funciones para desactivar el software de seguridad. El nombre viene de "root", la cuenta con todos los permisos en los sistemas tipo Unix.

Por qué es tan difícil de detectar

Un antivirus normal trabaja dentro de Windows, el mismo sistema que el rootkit controla y al que puede ocultarle sus archivos y procesos. Por eso Microsoft ofrece un examen que se hace después de un reinicio, sin cargar Windows: así, explica, cualquier malware persistente tiene más dificultades para ocultarse o defenderse. No hay estadísticas oficiales mexicanas sobre rootkits en equipos personales; suelen llegar como parte de otro malware, no como un ataque aparte.

Las señales

No esperes un síntoma claro: un rootkit existe justamente para no dar señales. Microsoft recomienda usar un programa antimalware, como Seguridad de Windows, cada vez que creas que el equipo puede estar infectado, por ejemplo si oyes en las noticias de un malware nuevo o notas un comportamiento extraño en la computadora. Pon atención también a tus cuentas: la CONDUSEF y la Asociación de Bancos de México advierten que, cuando el malware opera desde tu propio equipo con tus credenciales, es más difícil identificar de inmediato una operación fraudulenta. Un cargo que no reconoces puede ser la primera pista.

Cómo llega

Igual que el resto del malware, porque viaja con él. La Guardia Nacional señala los canales más usados para difundir código malicioso: documentos, imágenes o videos en redes sociales; sitios falsos o de pornografía; redes para intercambiar música y archivos; memorias USB infectadas; sitios legítimos pero infectados, y archivos adjuntos en correos no solicitados. También advierte que los programas "gratis" para detectar virus que se descargan de sitios no oficiales pueden traer otros programas maliciosos.

Cómo revisar tu computadora desde fuera de Windows

1. Guarda los archivos que tengas abiertos: el equipo se va a reiniciar.
2. Abre Seguridad de Windows desde el menú Inicio y entra a Protección contra virus y amenazas > Opciones de examen.
3. Elige Antivirus de Microsoft Defender (examen sin conexión) e inicia el examen. Usa las definiciones más recientes y se ejecuta en el Entorno de recuperación de Windows, sin cargar Windows.
4. Al terminar, el equipo se reinicia solo. Para ver los resultados, abre Seguridad de Windows y selecciona Historial de protección.

Microsoft sugiere este examen cuando te preocupa que el equipo se haya expuesto a un virus o malware, o si quieres analizarlo sin estar conectado a internet. Para un archivo que te parezca sospechoso, también puedes hacer clic derecho sobre él en el Explorador de archivos y elegir Examinar con Microsoft Defender.

Protege tu protección

• Deja activada la Protección contra alteraciones (Seguridad de Windows > Protección contra virus y amenazas > Administrar la configuración): impide que las aplicaciones malintencionadas cambien ajustes importantes del Antivirus de Microsoft Defender, como la protección en tiempo real y la protección proporcionada en la nube.
• Mantén activas la Protección en tiempo real y la Protección proporcionada en la nube, que según Microsoft permite identificar, detener y corregir las amenazas con más precisión.
• Revisa la lista de Amenazas permitidas: nada debería estar ahí sin que tú lo sepas.
• Actualiza Windows con las revisiones más recientes y reinicia el equipo al menos una vez a la semana, como recomienda Microsoft.
• Instala y actualiza programas solo desde el sitio oficial del fabricante o las tiendas oficiales, verificando quién es el autor, como sugiere la SCT.

Si el rootkit no se va

Cuando el malware regresa después de cada examen, la salida más segura es empezar de cero: respalda tus documentos y fotos, reinstala Windows o restablece el equipo, y recupera tus archivos de un respaldo hecho antes de la infección, sin volver a instalar programas de origen dudoso. Si no te sientes seguro de hacerlo, pide ayuda a un técnico de confianza. Después, desde otro dispositivo seguro, cambia las contraseñas que usabas en esa computadora, porque un rootkit puede traer herramientas para robarlas, y revisa los movimientos de tu banco.

Un rootkit le miente a tu computadora sobre su propio estado. Revísala desde fuera, con el examen sin conexión, y si la duda sigue, empieza desde un sistema limpio.