Cómo detectan los antivirus el malware y por qué fallan

Un antivirus no tiene una sola manera de reconocer un programa malicioso, sino varias trabajando a la vez. Compara lo que encuentra con firmas de amenazas conocidas, busca parecidos con lo que ya se sabe que es dañino, vigila lo que hace un programa cuando se ejecuta y consulta a la nube cuando algo no le cuadra. Aun así, ninguno de esos métodos es infalible: a veces se le escapa una amenaza y a veces bloquea algo inofensivo.

Repasamos qué hace cada método, dónde falla, qué pasa con los falsos positivos, por qué varios motores no coinciden con el mismo archivo y qué puedes hacer tú, con la documentación de Microsoft Defender Antivirus, de otros dos fabricantes, de un servicio de análisis y de un instituto de pruebas, consultada el 29 de octubre de 2026.

---

Las firmas: reconocer lo que ya se conoce

El método más fácil de entender es el de las firmas. La ayuda de ESET NOD32 Antivirus lo resume sin rodeos: las firmas detectan e identifican los virus de forma fiable, y su inconveniente es que solo detectan los virus que conocen, o versiones ligeramente modificadas de ellos.

Ese peso se nota hasta en el vocabulario: el fabricante llama «motor de detección» a lo que antes se conocía como «base de datos de firmas de virus», y en la presentación de su antivirus insiste en que actualizarlo con regularidad, junto con los módulos del programa, es la mejor manera de asegurar el máximo nivel de seguridad.

La misma ayuda explica que, con el sistema de actualización automática, las firmas nuevas están disponibles a las pocas horas de descubrirse una amenaza. Y no trabajan solas: su tecnología de análisis, ThreatSense, combina análisis de código, emulación de código, firmas genéricas y firmas de virus, y la empresa la define como proactiva porque también protege durante la primera propagación de una amenaza nueva.

---

Heurística y comportamiento: buscar lo que todavía no tiene nombre

Para lo que aún no tiene firma está la heurística. El fabricante de NOD32 la define como un algoritmo que analiza la actividad maliciosa de los programas, y su gran ventaja es identificar software malicioso que no existía o que no cubrían las versiones anteriores del motor de detección. La documentación de Defender añade un matiz: sus reglas heurísticas buscan características de un archivo que se parezcan a características maliciosas conocidas, para detectar amenazas nuevas o versiones modificadas de las ya conocidas.

La casa de NOD32 va un paso más allá con lo que llama heurística avanzada o firmas ADN, un algoritmo propio optimizado para detectar gusanos y troyanos escritos en lenguajes de programación de alto nivel, y sostiene que con ella su antivirus señala incluso el malware nunca visto antes.

La otra gran familia mira lo que el programa hace, no cómo es. El motor de supervisión del comportamiento de Defender vigila posibles ataques después de la ejecución: observa cómo se comporta el proceso, incluida la secuencia de acciones mientras se ejecuta, para identificar y bloquear ciertos tipos de actividad a partir de reglas predeterminadas. Otro motor lleva esas secuencias sospechosas a modelos de aprendizaje automático en la nube que cubren toda la cadena del ataque, desde el aprovechamiento de una vulnerabilidad hasta la salida de datos.

También se puede ejecutar el programa sospechoso donde no haga daño. El motor de emulación de Defender desempaqueta el malware sobre la marcha y examina cómo se comportaría al ejecutarse, y otro motor ejecuta los archivos sospechosos en un entorno aislado, una sandbox, para analizar lo que hacen y bloquear el ataque. En NOD32, la emulación de código permite reconocer varios tipos más de empaquetadores, los que se descomprimen en la memoria una vez lanzados.

---

Qué aporta la nube

Defender trabaja con lo que su documentación llama detección y protección híbridas: el análisis se hace primero en el dispositivo y se apoya en la nube para las amenazas que van surgiendo. Cuando el programa encuentra algo desconocido, envía al servicio de protección en la nube unos metadatos o el propio archivo.

El reparto es por velocidad. Unos modelos ligeros de aprendizaje automático dan un veredicto en milisegundos, con modelos especializados en ejecutables, PowerShell, macros de Office, JavaScript y PDF. Cuando hace falta más análisis, los archivos sospechosos no se ejecutan y se envían a la nube, donde unos clasificadores examinan su contenido completo y, en cuestión de segundos, responden al equipo para permitir o bloquear el archivo.

La nube también sirve para preguntar por la reputación. El motor de reputación de Defender consulta fuentes de distintos equipos de la casa para bloquear amenazas ligadas a direcciones web, dominios, correos y archivos maliciosos o sospechosos. En NOD32 hace ese papel LiveGrid, un sistema de reputación que, según su página de protección en la nube, compara los archivos analizados con una base de datos en la nube de elementos permitidos y bloqueados.

---

Por qué se le escapan amenazas

Lo contrario de un falso positivo es un falso negativo: una entidad maliciosa que la solución no detecta. La guía de falsos positivos y negativos de Defender da tres causas: inteligencia de seguridad desactualizada, funciones mal configuradas o amenazas que evaden las firmas existentes.

La primera es el malware nuevo, que llega antes que su firma. El módulo de protección de AV-TEST, el instituto de pruebas con sede en Magdeburgo (Alemania), lo comprueba con ataques de malware de día cero que ha descubierto como muy tarde en las 24 horas anteriores. Y justifica su segunda prueba, con malware de las cuatro semanas anteriores, con una frase que lo resume todo: las infecciones se producen con frecuencia porque los productos no reciben actualizaciones, no están bien configurados o todavía no son capaces de protegerse frente a los ataques.

La segunda es el código que cambia de forma. El centro de recursos de Kaspersky explica que a los analizadores antivirus les cuesta detectar un virus metamórfico porque cambia su estructura interna y se reescribe cada vez que infecta un sistema, y que cuanto más tiempo sigue en un equipo, más variantes produce. El polimórfico es distinto: cifra su código original para no ser detectado. Contra este último, la emulación de Defender, que examina el comportamiento durante la emulación y el contenido de la memoria al final, deja al descubierto, en palabras de su documentación, el comportamiento del malware polimórfico.

La tercera es lo que no deja un archivo en el disco. La documentación de Defender describe un motor que examina la memoria de un proceso en ejecución para destapar un comportamiento malicioso que podría esconderse tras la ofuscación del código, y la integración con la interfaz de análisis antimalware (AMSI) para detectar ataques sin archivos y en memoria. Parte de la vigilancia ya no está en el ejecutable, sino en los guiones y las órdenes: hay modelos para PowerShell, JavaScript, VBScript y las macros VBA de Office, y un motor que examina la línea de comandos de todos los procesos antes de ejecutarse y la bloquea si la considera maliciosa.

---

Los falsos positivos: cuando lo inofensivo parece malware

El error contrario también cuenta. La guía de Defender define el falso positivo como un archivo, un proceso u otra entidad identificada por error como maliciosa, y deja claro que tanto los falsos positivos como los negativos pueden darse con cualquier solución de protección. La heurística tiene aquí su coste: el fabricante de NOD32 reconoce una probabilidad, muy pequeña, de falsas alarmas.

El módulo de usabilidad del instituto alemán parte de una idea sencilla: las falsas alarmas pueden entorpecer el trabajo tanto como un ataque de malware. Las mide al visitar varios cientos de webs populares, al analizar software legítimo, con cientos de miles de casos de un archivo de software benigno de 15 años, y al instalar y usar programas muy extendidos. De ese archivo retira la zona gris, como el software de administración remota o los registradores de teclas comerciales, para contar solo falsos positivos inequívocos.

Esa zona gris tiene nombre propio en Defender: las aplicaciones potencialmente no deseadas. Su documentación aclara que no son malware, pero que los productos de seguridad clasifican algunos programas así por su comportamiento y su reputación.

¿Y qué hace el fabricante con un falso positivo? En el caso de Defender, el archivo se envía a la empresa para que lo analicen sus investigadores, que usan esos envíos para mejorar la protección. Sus sistemas analizan la solicitud de inmediato y dan la última determinación disponible antes de que la revise un analista. La ayuda de NOD32 tiene su propio apartado para elegir una muestra como archivo con falso positivo y mandarla a analizar.

---

Por qué varios motores no coinciden con el mismo archivo

Quien sube un archivo a VirusTotal puede encontrarse con que unos motores lo marcan y otros no. El servicio examina cada elemento con más de 70 analizadores antivirus y servicios de listas de bloqueo de direcciones y dominios, se presenta como un simple agregador de información que no distribuye ni promociona ninguno de esos motores y muestra la etiqueta de detección que pone cada uno.

La disparidad tiene explicación. Los motores del servicio no siempre son idénticos a las versiones comerciales: muchas veces las empresas antivirus los ajustan específicamente para la plataforma, con una heurística más fuerte, interacción con la nube o firmas en fase beta. Además, son versiones de línea de comandos que, dependiendo del producto, no se comportan igual que las de escritorio, y conviven con soluciones de perímetro cuya heurística puede ser más agresiva, porque allí el impacto de un falso positivo se ve menos.

Por eso el propio servicio desaconseja usarlo para comparar antivirus: no se diseñó para eso, sino para comprobar muestras sospechosas con varias soluciones y ayudar a los laboratorios reenviándoles el malware que no detectan.

---

Qué puedes hacer tú

Lo primero es lo más aburrido: mantener el antivirus al día. Una inteligencia de seguridad desactualizada es la primera causa de falso negativo que da la documentación de Defender, y el fabricante de NOD32 considera la actualización regular la mejor manera de asegurar la máxima protección.

Lo segundo, no apagar la nube. En su guía de falsos positivos, la documentación de Defender recomienda activar la protección entregada desde la nube. En NOD32, el sistema de reputación de LiveGrid aparece marcado como recomendado, y su ayuda añade que con LiveGrid activado el programa puede, en algunos casos, responder más rápido a las amenazas nuevas.

Lo tercero, no tocar lo que no hace falta: la ayuda de NOD32 recomienda dejar los parámetros predeterminados de ThreatSense en todos los módulos salvo el análisis del dispositivo, y avisa de que cambiarlos puede ralentizar el sistema.

Y lo cuarto, enviar lo que no cuadra. Si el antivirus bloquea algo legítimo o deja pasar algo que no lo es, la documentación de Defender permite enviar archivos e incluso detecciones sin archivo, y el centro de recursos de la otra compañía explica que un virus metamórfico se puede notificar y enviar a la empresa para que lo estudie. Si la alarma la ves en el agregador, ten en cuenta que no emite veredictos propios ni puede quitar las detecciones de terceros: su página de falsos positivos manda volver a analizar primero, por si el fabricante ya ha corregido la detección en sus últimas firmas, y, si no, reclamar directamente al fabricante que lo marca.

Si estás repasando la seguridad de casa, en techplanet.es tienes nuestra selección de antivirus gratuitos y la comparativa de gestores de contraseñas: funciones, cifrado y sincronización.

---

Te puede interesar

Tech Planet participa en el programa de afiliados de Amazon. Si compras a través de estos enlaces, recibimos una pequeña comisión sin coste extra para ti, lo que nos ayuda a seguir creando contenido como este.